... | ... | @@ -6,33 +6,47 @@ Auf dieser und den folgenden Seiten finden Sie Informationen rund um die in SecD |
|
|
|
|
|
## Erklärungen zu den genutzten Begrifflichkeiten
|
|
|
|
|
|
### Abhängigkeiten
|
|
|
|
|
|
Zwischen Dokumentationen der gleichen Ebene und zu der nächsten Ebene darunter können Abhängigkeiten definiert werden. Dies ermöglicht es, Dokumentationen feiner aufzuteilen und verringert die Notwendigkeit, bestimmte Dinge mehrfach dokumentieren zu müssen. Wenn beispielsweise die Verarbeitungstätigkeit "Immatrikulation" Daten aus einer zentralen Nutzerverwaltung verwendet, kann eine Verarbeitungstätigkeit "Nutzerverwaltung" angelegt oder, falls schon vorhanden, ausgewählt werden und als Abhängigkeit definiert werden. Ebenso kann dann über eine Abhängigkeit zur Ebene der Fachapplikationen dokumentiert werden, dass ein SAP System genutzt wird, indem eine passende Dokumentation als Abhängigkeit gewählt wird.
|
|
|
|
|
|
### Ansprechpartner
|
|
|
|
|
|
Als Ansprechpartner sollten die Personen gewählt werden, die für den Betrieb einer Verarbeitungstätigkeit, einer Fachapplikation oder eines IT-Verfahrens zuständig sind. Es können in der Regel ein erster und ein zweiter Ansprechpartner angegeben werden, beispielsweise im Sinne eines fachlichen und eines technischen Ansprechpartners. Sollte keine konkrete Person benannt werden können, kann das Feld auch frei ausgefüllt werden mit einer Rollenbezeichnung.
|
|
|
|
|
|
### Dokumentationen
|
|
|
|
|
|
Dokumentationen stellen den Kern von SecDoc dar. Es können verschiedene Ebenen (Typen) von Dokumentationen angelegt werden, je nachdem was dokumentiert werden soll:
|
|
|
|
|
|
#### Verarbeitungstätigkeiten
|
|
|
|
|
|
Auf der obersten Ebene ist eine personenbezogene Verarbeitung im datenschutzrechtlichen Sinne angesiedelt. Diese Ebene entspricht dem, was vielfach als ein "Fachverfahren" oder "Geschäftsprozess" mit einem bestimmten funktionalen Ablauf der Verarbeitungstätigkeit verstanden wird (z.B. Immatrikulation). Auf dieser Ebene einer Verarbeitung werden die für eine Verarbeitungstätigkeit erforderlichen personenbezogenen Daten sowie die gesetzlichen Anforderungen dokumentiert. Der Verantwortliche definiert wie die personenbezogenen Daten verwaltet werden und bestimmt die zu verwendenden IT-Systeme und Prozesse. Wesentlich für die datenschutzrechtlich angemessen funktionale Gestaltung dieser Ebene ist die Bestimmung des Zwecks oder der Zwecke der Verarbeitungstätigkeit.
|
|
|
Auf der obersten Ebene (Ebene 1) ist eine personenbezogene Verarbeitung im datenschutzrechtlichen Sinne angesiedelt. Diese Ebene entspricht dem, was vielfach als ein "Fachverfahren" oder "Geschäftsprozess" mit einem bestimmten funktionalen Ablauf der Verarbeitungstätigkeit verstanden wird (z.B. Immatrikulation). Auf dieser Ebene einer Verarbeitung werden die für eine Verarbeitungstätigkeit erforderlichen personenbezogenen Daten sowie die gesetzlichen Anforderungen dokumentiert. Der Verantwortliche definiert wie die personenbezogenen Daten verwaltet werden und bestimmt die zu verwendenden IT-Systeme und Prozesse. Wesentlich für die datenschutzrechtlich angemessen funktionale Gestaltung dieser Ebene ist die Bestimmung des Zwecks oder der Zwecke der Verarbeitungstätigkeit.
|
|
|
|
|
|
**Beispiele:** E-Mail Betrieb, Identitätsverwaltung, Immatrikulation, Newsletterdienst, Prüfungsverwaltung, Schulungsveranstaltung
|
|
|
|
|
|
#### Fachapplikationen
|
|
|
|
|
|
Auf der nächsten Ebene ist die praktische Umsetzung der Verarbeitung und des Zwecks angesiedelt. Diese umfasst zum einen die Rolle der Sachbearbeitung sowie die IT- Applikation(en), die sich genauer auch als "Fachapplikation eines Fachverfahrens" bezeichnen lässt (z.B. SAP HCM). Die Sachbearbeitung und die Fachapplikation müssen die funktionalen und (datenschutz-)rechtlichen Anforderungen, denen die Verarbeitung unterliegt, vollständig erfüllen. Die Fachapplikation muss die Zweckbindung sicherstellen. Die Applikation muss die Verarbeitung zusätzlicher Daten oder zusätzliche Verarbeitungsformen ausschließen, selbst wenn sie funktional besonders komfortabel sein mögen. Damit soll das Risiko minimiert werden, dass sie die Zweckbindung unterlaufen oder der Zweck überdehnt wird.
|
|
|
Auf der nächsten Ebene (Ebene 2) ist die praktische Umsetzung der Verarbeitung und des Zwecks angesiedelt. Diese umfasst zum einen die Rolle der Sachbearbeitung sowie die IT- Applikation(en), die sich genauer auch als "Fachapplikation eines Fachverfahrens" bezeichnen lässt (z.B. SAP HCM). Die Sachbearbeitung und die Fachapplikation müssen die funktionalen und (datenschutz-)rechtlichen Anforderungen, denen die Verarbeitung unterliegt, vollständig erfüllen. Die Fachapplikation muss die Zweckbindung sicherstellen. Die Applikation muss die Verarbeitung zusätzlicher Daten oder zusätzliche Verarbeitungsformen ausschließen, selbst wenn sie funktional besonders komfortabel sein mögen. Damit soll das Risiko minimiert werden, dass sie die Zweckbindung unterlaufen oder der Zweck überdehnt wird.
|
|
|
|
|
|
**Beispiele:** Active Directory, CMS, Exchange, SAP
|
|
|
|
|
|
#### IT-Verfahren
|
|
|
|
|
|
Auf der Ebene der IT-Verfahren ist die IT-Infrastruktur angesiedelt, die Funktionen bereitstellt, die eine Fachapplikation nutzt. Zu dieser Ebene an "technischen Services" zählen Betriebssysteme, virtuelle Systeme, Datenbanken, Authentifizierungs- und Autorisierungssysteme, Router und Firewalls, Speichersysteme wie SAN oder NAS, CPU-Cluster, sowie die Kommunikationsinfrastruktur einer Organisation wie das Telefon, das LAN oder der Internetzugang. Auch hier gilt, dass diese Systeme innerhalb einer Verarbeitungstätigkeit jeweils so zu gestalten und zu nutzen sind, dass die Zweckbindung erhalten bleibt. Damit die Zweckbindung bzw. Zwecktrennung auf dieser Ebene durchgesetzt werden kann, müssen typischerweise technische und organisatorische Maßnahmen getroffen werden.
|
|
|
Auf der Ebene 3 "IT-Verfahren" ist die IT-Infrastruktur angesiedelt, die Funktionen bereitstellt, die eine Fachapplikation nutzt. Zu dieser Ebene an "technischen Services" zählen Betriebssysteme, virtuelle Systeme, Datenbanken, Authentifizierungs- und Autorisierungssysteme, Router und Firewalls, Speichersysteme wie SAN oder NAS, CPU-Cluster, sowie die Kommunikationsinfrastruktur einer Organisation wie das Telefon, das LAN oder der Internetzugang. Auch hier gilt, dass diese Systeme innerhalb einer Verarbeitungstätigkeit jeweils so zu gestalten und zu nutzen sind, dass die Zweckbindung erhalten bleibt. Damit die Zweckbindung bzw. Zwecktrennung auf dieser Ebene durchgesetzt werden kann, müssen typischerweise technische und organisatorische Maßnahmen getroffen werden.
|
|
|
|
|
|
**Beispiele:** Datenbankserver, ESX, Speichersysteme, Router
|
|
|
|
|
|
#### Übergreifende Maßnahmen
|
|
|
|
|
|
### Vorlagen
|
|
|
Die zusätzliche Ebene 4 stellt übergreifende Maßnahmen dar, die universitäts- oder bereichsweit umgesetzt wurden und für eine Vielzahl dort eingesetzter IT-Verfahren gültig sind. Dies verhindert, dass diese bei jeder einzelnen Dokumentation mit einbezogen und bearbeitet werden müssen. Übergreifende Maßnahmen können als Abhängigkeiten an andere Dokumentationen angehängt werden.
|
|
|
|
|
|
**Beispiele:** Datenschutzkonzept, Infrastrukturelemente, ISMS, Netzelemente
|
|
|
|
|
|
### Revisionen
|
|
|
|
|
|
Vorlagen sind abgespeckte Dokumentationen, die primär dafür da sind, um vorausgefüllte technische und organisatorische Maßnahmen für Nutzer anzubieten, sodass bei gleichartigen Dokumentationen die Maßnahmen nur einmal dokumentiert werden müssen. Vorlagen können auf der "Maßnahmen"-Seite ausgewählt werden und ersetzen das manuelle Auswählen und Bearbeiten von Bausteinen und Maßnahmen. Wird die Vorlage aktualisiert, sind die Änderungen automatisch in allen Dokumentationen sichtbar, die diese Vorlage verwenden.
|
|
|
Über Revisionen können beim Abschluss einer Dokumentation größere Änderungen mit einem Kommentar dokumentiert werden, beispielsweise im Sinne eines regelmäßigen Reviews. Der Kommentar und der aktuelle Benutzer werden in den Revisionsverlauf aufgenommen. Wird kein Kommentar angegeben, kann die Dokumentation dennoch abgeschlossen werden, ohne das eine neue Revision angelegt wird.
|
|
|
|
|
|
**Hinweis:** Es wird keine Kopie des aktuellen Zustands angelegt! Sollte ein Verlauf verschiedener Versionsstände gewünscht sein, sollten die jeweiligen Abschluss-PDFs manuell archiviert werden.
|
|
|
|
|
|
### Status einer Dokumentation
|
|
|
|
... | ... | @@ -44,4 +58,14 @@ Die Dokumentation wird noch aktiv bearbeitet oder die Verarbeitungstätigkeit/di |
|
|
* **Abgeschlossen/In Betrieb:**
|
|
|
Die Dokumentation wird aktuell als fertig angesehen und die Verarbeitungstätigkeit/die Fachapplikation/das IT-Verfahren ist in Betrieb. Wird eine Dokumentatione abgeschlossen, werden die eingetragenen Ansprechpartner darüber informiert. Es wird eine PDF-Version der Dokumentation erstellt, die an die Ansprechpartner verschickt wird oder heruntergeladen werden kann. Darüber hinaus wird eine Datenschutzerklärung im PDF-Format und als Include-Baustein für Webseiten angelegt.
|
|
|
|
|
|
Um eine Dokumentation abzuschließen, muss auf der letzten Seite der "Abschluss"-Knopf benutzt werden. Wird die Dokumentation danach erneut bearbeitet, wird der Status zurück auf "In Bearbeitung" gesetzt. Die letzte abgeschlossene Version bleibt als PDF gespeichert und einsehbar, bis die Dokumentation erneut abgeschlossen wird. |
|
|
\ No newline at end of file |
|
|
Um eine Dokumentation abzuschließen, muss auf der letzten Seite der "Abschluss"-Knopf benutzt werden. Wird die Dokumentation danach erneut bearbeitet, wird der Status zurück auf "In Bearbeitung" gesetzt. Die letzte abgeschlossene Version bleibt als PDF gespeichert und einsehbar, bis die Dokumentation erneut abgeschlossen wird.
|
|
|
|
|
|
### Technische und organisatorische Maßnahmen (TOMs)
|
|
|
|
|
|
Egal ob eine Verarbeitungstätigkeit, eine Fachapplikation oder ein IT-Verfahren betrieben wird, muss ein geeigneter Schutz durch technische und/oder organisatorische Maßnahmen sichergestellt werden. Hierbei müssen verschiedene Aspekte betrachtet werden, insbesondere wie hoch der Schutzbedarf der Tätigkeit/Anwendung selbst und der darin verarbeiteten Daten ist.
|
|
|
|
|
|
Auf der Seite "Maßnahmen" können umgesetzte Maßnahmen dokumentiert werden, nachdem ein passender Schutzbedarf gewählt wurde. Die Aufteilung in Bausteine und Anforderungen orientiert sich am [BSI IT Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html), sodass das [Kompendium](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/IT-Grundschutz-Kompendium/it-grundschutz-kompendium_node.html) sowie weitere Informationen beim Ausfüllen zu Rate gezogen werden können. Es besteht die Möglichkeit, eine bereits vorhandene Vorlage auszuwählen, sodass kein manuelles Ausfüllen notwendig ist. Gibt es keine geeignete Vorlage, müssen zuerst Bausteine, die zur dokumentierten/m Verarbeitungstätigkeit/Fachapplikation/IT-Verfahren passen, ausgewählt und anschließend die notwendigen Anforderungen bearbeitet werden. Die Anforderungen orientieren sich am Schutzbedarf und sollten alle bearbeitet werden. Sollte eine Anforderung nicht zutreffen, kann die Option "Entbehrlich" gewählt werden.
|
|
|
|
|
|
### Vorlagen
|
|
|
|
|
|
Vorlagen sind verkürzte Dokumentationen, die primär dafür da sind, um vorausgefüllte technische und organisatorische Maßnahmen für Nutzer anzubieten, sodass bei gleichartigen Dokumentationen die Maßnahmen nur einmal dokumentiert werden müssen. Vorlagen können auf der "Maßnahmen"-Seite ausgewählt werden und ersetzen das manuelle Auswählen und Bearbeiten von Bausteinen und Maßnahmen. Wird die Vorlage aktualisiert, sind die Änderungen automatisch in allen Dokumentationen sichtbar, die diese Vorlage verwenden. |
|
|
\ No newline at end of file |