IT-Sicherheitsrichtlinie - Universität zu Lübeck

IT-Sicherheitsrichtlinie – Definition des Grundschutzes
2.2.2.2. Rollentrennung (M2.5)
Verantwortlich für Initiierung:
Verantwortlich für Umsetzung:
Verfahrensverantwortlicher
IT-Personal, IT-Anwender
Für jedes IT-Verfahren bzw. jeden IT-Arbeitsprozess sind die Verantwortlichkeiten
für alle Bereiche eindeutig festzulegen. Normalerweise ist eine Rollentrennung von
Verfahrensentwicklung/-pflege und Systemadministration sinnvoll. Jedem Mitarbeiter
müssen die ihm übertragenen Verantwortlichkeiten und die ihn betreffenden
Regelungen bekannt sein. Abgrenzungen und Schnittflächen der verschiedenen
Anwenderrollen müssen klar definiert sein.
2.2.2.3. Benennung eines IT-Verantwortlichen (M2.225)
Verantwortlich für Initiierung:
Verantwortlich für Umsetzung:
Universitätsleitung (CIO-Gremium)
Bereichsleitung
Den IT-Verantwortlichen der Organisationseinheiten kommt im Rahmen der IT-
Sicherheitsrichtlinie der teilnehmenden Institutionen eine zentrale Bedeutung zu,
denn sie haben in ihrem Zuständigkeitsbereich die für den IT-Einsatz gebotenen
technischen und organisatorischen Maßnahmen zur IT-Sicherheit zu initiieren und
zu koordinieren; sie führen die notwendigen Aufzeichnungen für die Organisationseinheit
ihrer Zuständigkeit. Bei Fragen des IT-Einsatzes sind sie sowohl Ansprechpartner
für die Mitarbeiter ihrer Organisationseinheit als auch für Dritte (außerhalb
ihrer Organisationseinheit).
Eine nähere Beschreibung von Rolle und Aufgaben des IT-Verantwortlichen ist in
der IT-Organisationsrichtlinie enthalten.
2.2.2.4. Dokumentation der IT-Verfahren bezüglich der IT-Sicherheit
(M2.214 / M2.201 / DSVO)
Verantwortlich für Initiierung:
Verantwortlich für Umsetzung:
IT-Verantwortlicher (bereichsspezifisch)
Verfahrensverantwortlicher (verfahrensspezifisch)
IT-Personal
IT-Verfahren sind bezüglich der Sicherheit mindestens hinsichtlich der folgenden
Punkte zu dokumentieren:
Zweck des IT-Verfahrens, Zielsetzung, Begründung und Beschreibung der
Arbeitsabläufe
Schutzbedarfsanalyse mit einer Bewertung auf Grundlage der in dieser
Richtlinie dargestellten Bewertungstabelle
Ggf. Risikoanalyse in Abhängigkeit vom Ergebnis der Schutzbedarfsanalyse
Beschreibung der Rollen; ggf. in Form eines Berechtigungskonzepts
Vertretungsregelungen, insbesondere im Administrationsbereich
30 von 75