Das Beispielunternehmen RECPLAST - Bundesamt für Sicherheit in ...

Webkurs IT-Grundschutz – das Beispielunternehmen RECPLAST
– der unberechtigte Zugriff auf Informationen bzw. ihre Änderung und unbefugte
Übermittlung,
– die illegale Nutzung von Informationen aus dem Unternehmen,
– die Gefährdung der IT-Sicherheit der Mitarbeiter, Geschäftspartner und des Unternehmens
und
– die Schädigung des Rufes des Unternehmens.
• Bewusste Zuwiderhandlungen gegen die IT-Sicherheitsleitlinie werden bestraft – gegebenenfalls
disziplinarisch, arbeitsrechtlich oder mit zivil- und strafrechtlichen Verfahren, in denen auch
Haftungsansprüche und Regressforderungen erhoben werden können.
Geltung und Detaillierung
• Diese IT-Sicherheitsleitlinie gilt für das gesamte Unternehmen. Jeder Beschäftigte ist daher verpflichtet,
die IT-Sicherheitsleitlinie im Rahmen seiner Zuständigkeiten und Arbeiten einzuhalten
und die Informationen und die Technik angemessen zu schützen.
• Unter den Vorgaben dieser IT-Sicherheitsleitlinie und der IT-Grundschutz-Kataloge des
Bundesamtes für Sicherheit in der Informationstechnik, werden Ziele, Anforderungen,
organisatorische und technische Sicherheitsmaßnahmen in dem IT-Sicherheitskonzept detailliert,
geplant, dokumentiert und dann umgesetzt.
2.2 Einführung der IT-Sicherheitsleitlinie im Unternehmen
Die Unternehmensleitung lässt sich zu den Inhalten der IT-Sicherheitsleitlinie von dem IT-Sicherheitsbeauftragten,
der Projektgruppe „IT-Sicherheitskonzept“ und dem IT-Sicherheitsmanagement-
Team ausgiebig beraten. Dann stellt sie die IT-Sicherheitsleitlinie in der Managementsitzung der
Bereichsleiter vor, an der auch der Betriebsrat teilnimmt. Nach Diskussion der Aussagen zur Bedeutung
der IT und zum Sicherheitsniveau, der Sicherheitsziele, Strategieaussagen, organisatorischen
Regelungen und Konsequenzen werden Vorschläge für Änderungen eingebracht. Nach einer Überarbeitung
durch den IT-Sicherheitsbeauftragten lädt die Unternehmensleitung alle Beschäftigten zu einer
Versammlung ein (ggf. im Einvernehmen mit dem Betriebsrat im Rahmen einer Betriebsversammlung).
Sie erläutert im Vortrag die Wichtigkeit der Leitlinie für das Unternehmen und erklärt Ziele,
Maßnahmen und Konsequenzen. Jeder Mitarbeiter bekommt eine schriftliche Ausfertigung der Leitlinie.
Die Unternehmensleitung kündigt eine Reihe von Fortbildungsveranstaltungen zur IT-Sicherheit
an, damit die Mitarbeiter für mögliche Gefährdungen sensibilisiert und auf einzuhaltende IT-Sicherheitsmaßnahmen
vorbereitet werden. Die Unternehmensleitung gibt den Termin bekannt, ab dem die
Leitlinie in Kraft gesetzt ist und verlangt ihre Einhaltung.
Weitere Informationen zum IT-Sicherheitsmanagement finden Sie in folgenden Dokumenten:
• in dem BSI-Standard 100-1: Managementsysteme für Informationssicherheit (ISMS),
• in den Kapiteln 2 und 3 der Beschreibung der IT-Grundschutz-Vorgehensweise (BSI-Standard
100-2) sowie
• im Baustein B 1.0 IT-Sicherheitsmanagement der IT-Grundschutz-Kataloge.
Seite 7