IT-Sicherheitsrichtlinie - Universität zu Lübeck

IT-Sicherheitsrichtlinie – Definition des Grundschutzes
tinuierlichen Betriebs und der entsprechenden Vertretungsregelungen. Dabei spielen
System- und Netzwerkadministratoren eine besondere Rolle.
2.2.3.3. Vertretung (M3.3)
Verantwortlich für Initiierung:
Verantwortlich für Umsetzung:
Bereichsleitung (bereichsspezifisch)
Verfahrensverantwortlicher (verfahrensspezifisch)
Bereichsleitung
Für alle Betreuungs- und Administrationsfunktionen sind Vertretungsregelungen
erforderlich. Die Vertreter müssen alle notwendigen Tätigkeiten ausreichend beherrschen
und ggf. auf schriftliche Arbeitsanweisungen und Dokumentationen zurückgreifen
können. Die Vertretungsregelung muss organisatorisch und nach Möglichkeit
auch technisch festgelegt sein und darf nicht durch die Weitergabe von
Passwörtern erfolgen.
Die technischen Voraussetzungen für die Wahrnehmung einer Vertretung sollten
möglichst ständig eingerichtet sein. Eine Ausnahme bilden systemspezifische, nicht
nutzerabhängige Kennungen (zum Beispiel root bei UNIX-Systemen). Dort soll der
Vertreter nur im Bedarfsfall auf das an geeigneter Stelle hinterlegte Passwort des
Administrators zurückgreifen können.
Bei der Auswahl der Vertreter ist zu beachten, dass die Rollentrennung nicht unterlaufen
wird.
2.2.3.4. Qualifizierung (M3.51)
Verantwortlich für Initiierung:
Verantwortlich für Umsetzung:
Bereichsleitung (bereichsspezifisch)
Verfahrensverantwortlicher (verfahrensspezifisch)
Bereichsleitung
IT-Personal darf erst nach ausreichender Schulung mit IT-Verfahren/IT-
Arbeitsprozessen arbeiten. Dabei sind ihnen die für sie geltenden Sicherheitsmaßnahmen,
die rechtlichen Rahmenbedingungen sowie ggf. die Erfordernisse des Datenschutzes
zu erläutern. Es muss sichergestellt sein, dass die ständige Fortbildung
des IT-Personals in allen ihr Aufgabengebiet betreffenden Belangen erfolgt.
2.2.4. Sicherung der Infrastruktur
2.2.4.1. Sicherung der Serverräume (M1.58)
Verantwortlich für Initiierung:
Verantwortlich für Umsetzung:
IT-Verantwortlicher
Technische Abteilung
Alle Rechnersysteme mit typischer Serverfunktion, einschließlich der Peripheriegeräte
(Konsolen, externe Platten, Laufwerke u. ä.), sind in separaten, besonders gesicherten
Räumen aufzustellen. Der Zugang Unbefugter zu diesen Räumen muss zuverlässig
verhindert werden. Je nach der Schutzbedürftigkeit sowie in Abhängigkeit
von äußeren Bedingungen (öffentlich zugänglicher Bereich, Lage zur Straße usw.)
34 von 75