TOMs

verhindern von unbefugten:

• Lesen

• Kopieren

• Verändern

• Löschen

Maßnahmen:

• Verschlüsselung von Datenträgern

• Verschlossenes Aufbewahren von Datenträgern

• Protokollierung der Aushändigung bzw. Rückgabe von Datenträgern

kein unbefugtes:

• Lesen, Kopieren, Verändern oder Entfernen

bei der elektronischen Übertragung oder beim Transport sowie die nachträgliche Überprüfung

Maßnahmen:

• Geeignete Berechtigungsnachweise

• Gegenseitige Überwachung

• Verschlüsselung, Virtual Private Networks (VPN)

• elektronische Signatur

• Kontrolle der Anfertigung von Datenkopien

• Fernwartungskonzept und Protokollierung von Fernwartungsvorgängen

Feststellung und Nachvollziehbarkeit, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind

Maßnahmen:

• Protokollierung von Zugriffen und Änderungen

• Nachweis der Quellen von Daten (Authentizität)

• Versionierung

• Dokumentation mit Hilfe von Protokollierungs- und Auswertungskonzepts

• Verantwortung für Daten und Systeme, Arbeitsnaweisungen

• Weisungsgemäße Auftragsverarbeitung durch Dritte

• Maßnahmen zur Abgrenzung der Kompetenzen zwischen Auftraggeber und Auftragnehmer

Maßnahmen:

• Eindeutige Vertragsgestaltung

• formalisiertes Auftragsmanagement

• strenge Auswahl des Dienstleisters

• Nachkontrollen

• Datenschutz- und IT-Sicherheitsaudits

  
  

Schutz gegen zufällige oder mutwillige Zerstörung bzw. Verlust

Maßnahmen:

• Backup-Strategie und -Verfahren

• Brandfrüherkennung, Rauchmeldeanlagen

• Unterbrechungsfreie Stromversorgung (USV)

• Virenschutz

• Firewall

• Meldewege und Notfallpläne

Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden

Maßnahmen:

• Mandantenfähigkeit

• Gewährleistung der Zweckbindung

• Trennung von Produktiv-, Test- und Entwicklungssystemen

• getrennte Ordnerstrukturen

• separate Tabellen innerhalb von Datenbanken

• getrennte Datenbanken

• Sandboxing

Anwendungen und Systeme können im Störungsfall wiederhergestellt werden

Maßnahmen:

• Schutzbedarfsfeststellungen

• Notfallplan, Desaster Recovery Maßnahmen

• Business Continuity Management

• Schulung und Übungen

• Dokumentation und Ermittlungen des Verbesserungsbedarfs