Informations- und Datenschutz-sicherheitsrichtlinie
Vorwort
Als einer der weltweit führenden Entwickler und Hersteller von hochpräzisen, anwendungsorientierten Dichtungslösungen für die Automobil- und Maschinenbauindustrie zeichnet sich KACO durch eine ausgeprägte Werkstoff- und Systemkompetenz und hohe Innovationskraft aus. Aus diesem Grund ist der Schutz unserer vertraulichen Daten sowie der Schutz vertraulicher Daten unserer Kunden von zentraler Bedeutung.
Die verlässliche Verfügbarkeit unserer IT- und Kommunikationssysteme ist entscheidend für einen reibungslosen Arbeitsablauf und die Verfügbarkeit von Daten.
Im Speziellen ist Folgendes zu beachten:
Stellenwert der Informations- und Kommunikationstechnologien
Informationsverarbeitung spielt eine Schlüsselrolle für unsere Aufgabenerfüllung. Alle wesentlichen strategischen und operativen Funktionen und Aufgaben werden durch Informationstechnik (IT) maßgeblich unterstützt. Ein Ausfall von IT-Systemen muss insgesamt kurzfristig kompensiert werden können. Die Funktionsfähigkeit jedes Teilbereichs muss gewahrt sein. Da unsere Kernkompetenz in der Entwicklung innovativer Produkte liegt, ist der Schutz dieser Informationen vor unberechtigtem Zugriff und vor unerlaubter Änderung von existenzieller Bedeutung. Gleiche Bedeutung messen wir auch dem Schutz personenbezogener Daten zu.
Übergreifende Ziele
Unsere Daten und unsere IT-Systeme in allen technischen und kaufmännischen Bereichen werden in ihrer Verfügbarkeit so gesichert, dass die zu erwartenden Stillstandszeiten auf ein tolerierbares Mindestmaß reduziert werden. Fehlfunktionen und Unregelmäßigkeiten in Daten und IT-Systemen sind soweit wie möglich zu vermeiden und nur in Ausnahmefällen akzeptabel (Integrität). Die Anforderungen an Vertraulichkeit orientieren sich am hohen Niveau der geltenden Gesetze. Für sensible personenbezogene Daten, Entwicklungs- oder Produktionsdaten gelten höchste Anforderungen an die Vertraulichkeit.
Die Standard-Sicherheitsmaßnahmen müssen zum Schutz der betroffenen Informationen geeignet sein und darüber hinaus in einem wirtschaftlich vertretbaren Verhältnis zum Wert der schützenswerten Informationen und IT-Systeme stehen. Finanzielle Schäden aufgrund mangelnder IT-Sicherheit oder hohen Risiken für die persönlichen Rechte und Freiheiten von Personen müssen verhindert werden.
Alle Mitarbeiter des Unternehmens halten die einschlägigen Gesetze (z. B. Strafgesetzbuch, Betriebsverfassungsgesetz, Handelsgesetzbuch, Sozialgesetzbuch, Gesetze und Regelungen zum Datenschutz) und vertraglichen Regelungen ein. Allen Mitarbeitern ist bewusst, dass im Falle eines Gesetzesverstoßes schwerwiegende finanzielle und immaterielle Konsequenzen für das Unternehmen sowie für die verantwortlichen Personen drohen. Jegliche Nichterfüllung der Pflichten wird verfolgt und geahndet, Verstöße ziehen Disziplinarmaßnahmen nach sich die abhängig von dem Schweregrad des Verstoßes bis hin zur außerordentlichen Kündigung führen können.
Alle Mitarbeiter und die Unternehmensführung sind sich ihrer Verantwortung beim Umgang mit den Informations- und Kommunikationstechnologien bewusst und unterstützen die Sicherheitsstrategien nach besten Kräften.
Detailziele
Verspätete oder fehlerhafte Managemententscheidungen können weitreichende Folgen nach sich ziehen. Daher ist für das Management bei wichtigen Entscheidungen der Zugriff auf aktuelle Steuerungsdaten wichtig. Für diese Informationen ist ein hohes Sicherheitsniveau in Bezug auf Verfügbarkeit und Integrität sicher zu stellen.
Die Datenschutzgesetze und die Interessen unserer Mitarbeiter verlangen eine Sicherstellung der Vertraulichkeit der Mitarbeiterdaten. Die Daten und die IT-Anwendungen der Personalabteilung werden daher einem hohen Vertraulichkeitsschutz unterzogen. Gleiches gilt für die Daten unserer Kunden und Geschäftspartner.
Für die Vertriebsabteilung ist die Aufrechterhaltung der Kommunikation nach außen zu den Kunden und Geschäftspartnern und der Zugriff auf die Kundendatenbank elementar. Die Geschäftsabwicklung darf nicht verzögert oder gar gefährdet werden. Insbesondere eine mangelhafte Verfügbarkeit der IT-Systeme und der Daten, aber auch Fehlfunktionen können zu Erlösminderungen führen. Die Aufrechterhaltung der Kommunikation und der ständige Zugriff auf korrekte Daten für die Vertriebsmitarbeiter haben einen hohen Schutzbedarf.
Die Daten der Forschungs- und Entwicklungsabteilung unterliegen sehr hohen Vertraulichkeitsanforderungen. Deren Verlust, Veränderungen oder Diebstahl kann Wettbewerbsnachteile bedeuten. Durch technische Maßnahmen und die hohe Aufmerksamkeit der Mitarbeiter wird die Vertraulichkeit geschützt und Manipulationen vorgebeugt.
Innerhalb der Produktionsabteilung werden die Verfügbarkeit und die Fehlerfreiheit der Systeme sichergestellt da diese sich sowohl negativ auf die Produktqualität auswirken als auch zu Stillstandzeiten führen können uns damit die nachfolgenden Prozesse und letztendlich auch auf die Erlöse beeinträchtigen. Ausfälle sind daher soweit wie möglich zu vermeiden.
Die Nutzung des Internets zur Informationsbeschaffung und zur Kommunikation ist für uns selbstverständlich. E-Mail dient als Ersatz oder als Ergänzung von anderen Bürokommunikationswegen. Durch entsprechende Maßnahmen werden die Risiken der Internetnutzung stetig reduziert.
Informationssicherheits- und Datenschutzmanagement
Zur Erreichung der Informationssicherheits- und Datenschutzziele wurde eine Sicherheitsorganisation eingerichtet. Es sind IT-Sicherheits- und Datenschutzbeauftragte benannt worden. Die Beauftragten berichtet in ihrer Funktion direkt an die Geschäftsleitung.
Den Beauftragten und den Administratoren werden von der Geschäftsleitung ausreichende finanzielle und zeitliche Ressourcen zur Verfügung gestellt, um sich regelmäßig weiterzubilden und zu informieren und die von der Geschäftsleitung festgelegten Informationssicherheits- und Datenschutzziele zu erreichen.
Die Administratoren und die Beauftragte sind durch die IT-Benutzer ausreichend in ihrer Arbeit zu unterstützen.
Der IT-Sicherheitsbeauftragte ist frühzeitig in alle Projekte einzubinden, um schon in der Planungsphase sicherheitsrelevante Aspekte zu berücksichtigen. Sofern personenbezogene Daten betroffen sind, gilt gleiches für den Datenschutzbeauftragten.
Die IT-Benutzer haben sich in sicherheitsrelevanten Fragestellungen an die Anweisungen des IT-Sicherheitsbeauftragen bzw. des Datenschutzbeauftragten zu halten.
Sicherheitsmaßnahmen
Für alle Verfahren, Daten, Informationen, IT-Anwendungen und IT-Systeme sind verantwortliche Personen benannt, die dem jeweiligen Schutzbedarf, der in einem funktionsübergreifenden Team bestimmt wurde, entsprechend Zugriffsberechtigungen vergeben.
Für alle verantwortlichen Funktionen sind Vertretungen benannt.
Gebäude und Räumlichkeiten werden durch geeignete Zutrittskontrollen geschützt. Der Zugang zu IT-Systemen wird durch angemessene Zugangskontrollen beschränkt. Ein restriktives Berechtigungskonzept regelt den Zugriff auf die Daten.
Computer-Viren-Schutzprogramme werden in allen IT-Systemen eingesetzt. Alle Internetzugänge werden durch eine geeignete Firewall gesichert. Die Schutzprogramme sind so konfiguriert und administriert, dass sie einen effektiven Schutz darstellen und Manipulationen verhindert werden. Die IT-Benutzer sind aufgefordert, diese Sicherheitsmaßnahmen durch eine sicherheitsbewusste Arbeitsweise zu unterstützen und bei Auffälligkeiten die entsprechend festgelegten Stellen zu informieren.
Trotz aller Sicherheitsmaßnahmen können Datenverluste nie vollkommen ausgeschlossen werden. In einem solchen Fall wird durch eine umfassende Datensicherung gewährleistet, dass der IT-Betrieb kurzfristig wiederaufgenommen werden kann, wenn Teile des operativen Datenbestandes verloren gehen oder offensichtlich fehlerhaft sind. Informationen und Daten werden einheitlich gekennzeichnet und so aufbewahrt, dass sie schnell auffindbar sind.
Um größere Schäden in Folge von Notfällen zu begrenzen bzw. diesen vorzubeugen, muss auf Sicherheitsvorfälle zügig und konsequent reagiert werden. Maßnahmen für den Notfall werden in einem separaten Notfallvorsorgekonzept zusammengestellt. Unser Ziel ist, auch bei einem Systemausfall kritische Geschäftsprozesse aufrechtzuerhalten und die Verfügbarkeit der ausgefallenen Systeme innerhalb einer tolerierbaren Zeitspanne wiederherzustellen.
Sofern IT-Dienstleistungen an externe Stellen ausgelagert werden, geben wir konkrete Sicherheitsanforderungen in den Service Level Agreements vor. Zudem behalten wir uns Kontrollrechte vor. Für umfangreiche oder komplexe Outsourcing-Vorhaben erstellen wir ein detailliertes Sicherheitskonzept mit konkreten Maßnahmenvorgaben.
Die Regelungen zur Informationssicherheit und zum Datenschutz sind für alle Mitarbeiter im Intranet verfügbar und werden regelmäßig in Schulungen vermittelt. Für alle IT-Benutzer werden regelmäßig Schulungen zur korrekten Nutzung von Informations- und Kommunikationstechnologien und den hiermit verbundenen Sicherheitsmaßnahmen durchgeführt. Die Geschäftsleitung unterstützt dabei die bedarfsgerechte Fort- und Weiterbildung.
Verbesserung der Sicherheit
Das Managementsystem wird regelmäßig auf seine Aktualität und Wirksamkeit hin überprüft. Daneben werden die Sicherheitsmaßnahmen regelmäßig daraufhin untersucht, ob sie den betroffenen Mitarbeitern bekannt sind, ob sie umsetzbar und in den Betriebsablauf integrierbar sind.
Die Geschäftsleitung unterstützt die ständige Verbesserung des Sicherheitsniveaus. Mitarbeiter sind angehalten, mögliche Verbesserungsvorschläge oder Hinweise auf Schwachstellen an die entsprechenden Stellen weiterzugeben.
Durch eine kontinuierliche Revision der Regelungen und deren Einhaltung wird das angestrebte Sicherheits- und Datenschutzniveau sichergestellt. Abweichungen werden mit dem Ziel analysiert, die Sicherheitssituation zu verbessern und ständig auf dem aktuellen Stand der IT-Sicherheitstechnik zu halten.