Datensicherheitsmaßnahmen (TOMs)?

Erklärung: Die Verantwortlichen und Auftragsverarbeiter haben geeignete technische und organisatorische Maßnahmen (TOMs) zu treffen, um dem Risiko eines Datenverlustes, ein angemessenes Schutzniveau entgegenzubringen. Dies ist abhängig
- vom Stand der Technik
- von der Art des Umfanges, der Umstände und der Zwecke der Verarbeitung
- von der Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen
- von den Implementierungskosten
Ziel: Sicherstellung der geeigneten und erforderlichen technischen und organisatorischen Maßnahmen (TOMs) unter Einhaltung des Standes der Technik
Aufgaben:
- Definieren von Informationssicherheitsvorgaben
IT-Sicherheitsrichtlinien erstellen, Compliance
- Zugriffsberechtigungen, Authentifizierung und Kontrollen, Benutzerrichtlinien, Datenschutz-Policy (wie zB Passwortrichtlinien, Rollenzuweisung, Berechtigte und nicht Berechtigte …), Verantwortliche (für zB bestimmte Sicherheitsaufgaben, Verfahren, Dokumentationen …)
- Betriebssicherheit
  - Protokollierung und Überwachung – ist eine wichtige Sicherheitsmaßnahme, die die Identifizierung und Nachverfolgung von Benutzeraktionen ermöglicht
  - Backup – erstellen und überprüfen von Backups, Zeitrahmen definieren, Möglichkeit der Löschung von Daten aus Backups erwägen
  - Datendesaster – was tun im Falle eines Datenverlustes
  - Regelungen zum Umgang mit Schwachstellen definieren – (zB einspielen von Sicherheitspatches)
  - Maßnahmen zum Schutz von Schadsoftware ergreifen (zB geeigneter Virenschutz)
  - Fernwartungen, Vor-Ort-Services
  - Mobile Devices (zB BYOD, Laptops, Handy) – wer kann wo, wie, warum zugreifen
  - Verschlüsselung, Anonymisierung von sensiblen Daten
- Kommunikationssicherheit
  - Netzwerksicherheitsmaßnahmen ergreifen (zB Firewall, Netzwerksegmentierung …)
  - Sichere Datenübertragung implementieren (zB E-Mail Verschlüsselung)
Organisatorische Richtlinien erstellen wie zB
- Sicherheitsbeauftragte definieren
- Personalabteilung, Management
  - Neue Mitarbeiter, ausgeschiedene Mitarbeiter (Datenzugriff sperren), Zugangskontrolle
  - Es muss sichergestellt werden, dass alle Mitarbeiter und Mitarbeiterinnen ihre Verantwortlichkeiten und Pflichten gegenüber personenbezogenen Daten verstehen. Rollen und Pflichten müssen klar kommuniziert werden.
  - Für die richtige Umsetzung der organisatorischen und technischen Sicherheitsmaßnahmen ist eine Personalschulung zum Datenschutz und Sicherheitsverfahren (zB Verwendung von Passwörtern, Zugriff auf Datenverarbeitungsverarbeitungssystem) wichtig.
- Verstöße gegen personenbezogene Daten – wer ist wann unverzüglich zu benachrichtigen
- Business Kontinuität – Ein Business-Continuity-Plan (BCP) ist unerlässlich, um Prozesse und technische Maßnahmen zu bestimmen, die die Organisation im Falle einer Verletzung des Schutzes persönlicher Daten durchführen sollte, um möglichst rasch wieder zur Normalität zurückkehren zu können. Als solches ergänzt es die Sicherheitspolitik des Unternehmens.
- Regelungen zur Einhaltung gesetzlicher und vertraglicher Anforderungen definieren
Informationssicherheits- und Managementsystem
- Unter Umständen empfiehlt sich die Einführung eines Informationssicherheits- und Managementsystems nach ISO/IOC 27001:2013, in welchem die Anforderungen für Errichtung, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung, entsprechend den individuellen Bedürfnissen der Organisation, dokumentiert sind.
Bezug:
- Erwägungsgründe (DSGVO)
  - (75) Risiken für die Rechte und Freiheiten natürlicher Personen
  - (76) Risikobewertung
  - (77) Leitlinien zur Risikobewertung
  - (78) Geeignete technische und organisatorische Maßnahmen (TOMs)
  - (83) Sicherheit der Verarbeitung
- Artikel 32 und 24 der DSGVO
- ISO/IOC 27001:2013 (spezifiziert die Anforderungen für Einrichtung, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines dokumentierten Informationssicherheits-Managementsystems unter Berücksichtigung des Kontexts einer Organisation)

Maßgeschneidert für Ihren Erfolg: Profitieren Sie von der FORUM Media Online-Welt mit fundiertem Fachwissen, Top Suchergebnissen und vielen aktuellen Themenschwerpunkten.

Als Abonnent melden Sie sich bitte mit Ihren Zugangsdaten an, um auf den Inhalt zuzugreifen.
Oder bestellen Sie jetzt das OnlineBuch Die GmbH in Fallbeispielen in unserem Shop! Zum Shop