IT-Sicherheitsrichtlinie - Universität zu Lübeck

IT-Sicherheitsrichtlinie – Definition des Grundschutzes
sen wird, wenn sie für die zu erledigenden Aufgaben nicht notwendig sind. Für den
Betrieb notwendige Schnittstellen müssen so kontrolliert werden, dass keine anderen
als die vorgesehenen Geräte angeschlossen werden können. (Beispielsweise
muss der USB-Port für den Anschluss einer Tastatur so eingestellt und überwacht
werden, dass kein anderes Gerät an diesem Anschluss betrieben werden kann.) Der
Zugriff auf das Rechner-BIOS ist durch ein Passwort zu schützen.
2.2.5.8. Dokumentation (M2.219 / M2.24 / M2.25 / M2.34)
Verantwortlich für Initiierung:
Verantwortlich für Umsetzung:
IT-Verantwortlicher (bereichsspezifisch)
Verfahrensverantwortlicher (verfahrensspezifisch)
IT-Personal
Zu jedem IT-System ist eine Dokumentation zu führen. Üblicherweise werden nicht
einzelne PCs gesondert dokumentiert, sondern zu größeren Gruppen zusammengefasst.
Die Dokumentation muss mindestens den Aufstellungsort und Unterlagen
zur Hard- und Softwareausstattung, Garantieleistungen, Wartungsverträgen, Lizenzen
usw. enthalten. Darüber hinaus sind Angaben zur Hard- und Softwarekonfiguration,
zu durchgeführten Reparaturarbeiten, aufgetretenen Problemen, Suche
nach Schadprogrammen und zur Verantwortlichkeit zu dokumentieren. Regelungen
zur Datensicherung (Umfang, Verfahren, Rhythmus usw.) sind ebenfalls zu dokumentieren.
2.2.5.9. Ausfallsicherheit (M2.314)
Verantwortlich für Initiierung:
Verantwortlich für Umsetzung:
IT-Verantwortlicher (bereichsspezifisch)
Verfahrensverantwortlicher (verfahrensspezifisch)
IT-Dienstleister, IT-Personal
Maßnahmen zur Ausfallsicherheit sind entsprechend der jeweiligen Anforderung
an die Verfügbarkeit zu ergreifen. IT-Systeme, die zur Aufrechterhaltung eines geordneten
Betriebs notwendig sind, müssen durch Ausweichlösungen (redundante
Geräteauslegung oder Übernahme durch gleichartige Geräte mit leicht verminderter
Leistung) oder Wartungsverträge mit kurzen Reaktionszeiten hinreichend verfügbar
gehalten werden.
2.2.5.10. Einsatz von mobilen PCs (M2.218 / M2.309 / M2.430 / M4.29)
Verantwortlich für Initiierung:
Verantwortlich für Umsetzung:
IT-Verantwortlicher
IT-Personal
Mobile PCs können typischerweise sowohl mobil als auch stationär genutzt werden
und damit auch auf unterschiedliche Netze zugreifen. Daraus resultiert, dass bei der
mobilen Nutzung die Daten auf dem mobilen PC gegen Verlust, Manipulation und
unberechtigte Einsichtnahme geschützt werden müssen. Andererseits muss sichergestellt
werden, dass keine Gefährdungen von mobilen PCs auf andere IT-Systeme
und Netze ausgehen können.
41 von 75