3.24 Auftragskontrolle, Wartung und Fernwartung (Checkliste)

Auftragnehmer (Provider)

Befindet sich das Rechenzentrum des Dienstleisters in einem zutrittsgeschützten Gebäude?

Ist der Zutritt zu kritischen Räumlichkeiten ausschließlich befugtem Personal vorbehalten? (Gefahr Keylogger?)

Ist das Rechenzentrum gegen Wasserschäden, Brand, Einbruch und Vandalismus gesichert?

Sind redundante Datenleitungen und Hardwareinfrastrukturen vorhanden?

Verfügt das Rechenzentrum über Notstromvorrichtungen?

Gibt es Notfallpläne und entsprechend qualifiziertes Personal, das im Fehlerfall umgehend reagieren kann?

Wurden alle betroffenen Mitarbeiter des Providers auf das Datengeheimnis verpflichtet und informiert, dass dieses nach Beendigung des Dienstverhältnisses aufrecht bleibt?

Hat der Betreiber die notwendigen Versicherungen abgeschlossen?

Wurde das Rechenzentrumspersonal in Angelegenheiten des Datenschutzes und der IT-Sicherheit speziell geschult?

Verfügt das Rechenzentrum über eine umfassende Sicherheitsinfrastruktur gegen die Gefahren des Internets?

Werden Updates für die Serverbetriebssysteme und Sicherheitssysteme zeitnah eingespielt?

Sind die Kundendaten vor unbefugten Zugriffen geschützt?

Entsprechen die Benutzerverwaltung und das Rechtesystem den Anforderungen?

Werden die Daten verschiedener Kunden strikt getrennt?

Finden regelmäßige Vollsicherungen der Daten statt?

Werden die Backups sicher und zugriffsgeschützt gelagert?

Werden die Daten nur verschlüsselt übertragen und vorgehalten?

Unterliegen der Vertrag und die vereinbarten Leistungen den deutschen Datenschutzvorgaben?

Entsprechen die angebotenen Service Level Agreements (SLAs) der erforderlichen Verfügbarkeit?

Gibt es eine qualifizierte Hotline, die zu den betrieblich notwendigen Zeiten erreichbar ist?

Gibt es sinnvolle Regelungen, die den Fall der Geschäftsaufgabe des Providers lösen?

Kann ein Anbieterwechsel innerhalb einer vertretbaren Zeit erfolgen?

Kann die Einhaltung der Datenschutzvorgaben vor Ort im Rechenzentrum des Dienstleisters ungehindert kontrolliert werden?

Besteht eine Protokollierungsfunktion, auf die der Betreiber keinen Einfluss nehmen kann?

Erhält der Auftraggeber aussagekräftige und vollständige Protokolle über den Rechenzentrumsbetrieb?

Auftraggeber (das eigene Unternehmen)

Können nur befugte Mitarbeiter auf die Rechenzentrumsleistungen zugreifen?

Werden für den Zugriff auf RZ-Leistungen starke Passwörter gefordert sowie nach Möglichkeit eine weitere Form der Authentifizierung?

Wurde eine verpflichtende zyklische Neufestlegung von Passwörtern eingerichtet?

Werden die Zugänge von Mitarbeitern beim Ausscheiden aus dem Betrieb gelöscht oder bei einer Aufgabenänderung entsprechend angepasst? (Dies muss zum Teil der Provider umsetzen, der entsprechend informiert werden muss.)

Werden die internen Rechnersysteme, mit denen der Zugriff erfolgt (meist Internet-PCs), gegen Hackerangriffe und Malware geschützt?

Werden die Betriebssysteme und Sicherheitsanwendungen auf den lokalen Rechnern aktuell gehalten?

Werden die Archivierungspflichten beachtet, falls dies nicht Teil der Rechenzentrumsleistung ist?

Wartung und Fernwartung

Sind dem Einkauf, der Systemadministration und den anderen beteiligten Abteilungen die besonderen Sicherheitsrisiken einer Wartung bewusst?

Ist der genaue Wartungsumfang jeweils festgelegt?

Wird der Systemzugang während der Wartung zeitlich und von den Rechten her beschränkt?

Gibt es für die Wartung jeweils einen eigenen Zugang?

Werden starke Passwörter auch für den Wartungszugang gefordert?

Werden alle Wartungsarbeiten systemseitig und manipulationssicher protokolliert?

Werden die Wartungsprotokolle regelmäßig ausgewertet und mindestens ein Jahr aufbewahrt?

Werden möglicherweise bekannt gewordene Benutzerpasswörter geändert?

Werden echte personenbezogene Daten nach der Wartung aufseiten des Dienstleisters sofort gelöscht?

Werden von der Wartung nicht betroffene Komponenten (Notebooks, mobile Datenträger) physikalisch gesichert?

Finden nach Wartung und Reparatur Sicherheitsscans gegen Schadsoftware statt?

Werden die Daten beim Transport eines Tauschteils oder bei der Wartung verschlüsselt?

Werden die Daten auf den Komponenten, die entsorgt werden sollen, sicher gelöscht?

Sind die besonderen Risiken der Fernwartung bekannt?

Wird die Fernwartung nur dann genutzt, wenn es keine andere vertretbare Möglichkeit gibt?

Existieren für die Fernwartung besondere interne Regelungen?

Werden spezielle Sicherheitsmaßnahmen bei einem Fernzugriff eingesetzt und regelmäßig überprüft?

Ist sachkundiges eigenes Personal vorhanden, dem die Sicherheitsrisiken bei der Wartung und Fernwartung vertraut sind?

Ist jederzeit ein eigener Mitarbeiter greifbar, der die Aktivitäten der Wartung überwachen, beurteilen und ggfs unterbrechen kann?

Sind die Ansprechpartner beim Wartungsunternehmen festgelegt und dem Kunden bekannt?

Existiert ein schriftlicher Wartungsvertrag, in dem die Pflichten des Wartungsunternehmens festgelegt sind?

Ist das Personal des Wartungsunternehmens auf die Einhaltung des Datengeheimnisses verpflichtet worden, insbesondere auch nach Beendigung des Dienstverhältnisses?

Ist eine eventuell notwendig werdende Weitergabe von Kundendaten an einen Subunternehmer des Wartungsunternehmens nur nach ausdrücklicher schriftlicher Genehmigung des Auftraggebers gestattet?

Ist vertraglich sichergestellt, dass das Wartungsunternehmen nach Abschluss der Wartungsarbeiten alle übergebenen Kundendaten entweder zuverlässig löscht oder an den Kunden wieder zurückgibt?

Sind für den Transport oder die Übertragung von Kundendaten im Rahmen der Wartung und Fernwartung besondere Sicherheitsmaßnahmen festgelegt?

Hat der Auftraggeber Sanktionen für den Fall festgelegt, dass bei der Wartung zur Kenntnis gelangte Kundendaten missbräuchlich verwendet werden?

Ist auch bei der Hardwarewartung ausgeschlossen, dass unbefugt auf Kundendaten zugegriffen wird?

Ist die Fernleitung außerhalb der Wartungszeit ständig deaktiviert oder für andere Nutzungen gesperrt?

Ist sichergestellt, dass die DV-Anlage im Wartungsfall ausschließlich mit dem Fernwartungsunternehmen verbunden werden kann?

Können im Wartungsfall, insbesondere bei der Fernwartung, besonders sensible Kundendaten aus dem direkten Zugriff entfernt werden?

Kann bei vernetzten Systemen der mit der Fernwartungszentrale verbundene Rechner vom internen Netzwerk abgekoppelt werden?

Werden alle Kundendaten nur verschlüsselt zur Fernwartungszentrale übertragen?

Ist das interne Netzwerk während der Verbindung zur Fernwartungszentrale gegen etwaige Angreifer aus dem Internet geschützt?

Ist ausgeschlossen, dass Mitarbeiter von Wartungsunternehmen Kundendaten unerkannt systematisch abfragen und an die Fernwartungszentrale übertragen können?

Arbeitet die Wartung unter einer eigenen Kennung, die keine weitreichenden Systemverwalterprivilegien einschließt?

Wird das Passwort des Systemverwalters unverzüglich geändert, wenn es in Ausnahmenfällen der Wartung zur Verfügung gestellt werden musste?

Ist sichergestellt, dass im Rahmen der Fernwartung keine unbemerkten Softwareänderungen möglich sind?

Sind die für die Wartung benötigten Serviceprogramme unter einer speziellen Kennung, die nur der Wartung zugänglich ist, abrufbar?

Sind die Serviceprogramme durch geeignete Maßnahmen gegen missbräuchliche Manipulationen gesichert bzw werden solche Manipulationen vor einem Ablauf dieser Programme erkannt?

Ist bei der Wartung vor Ort sichergestellt, dass keine Datenträger den DV-Bereich des Kunden unbemerkt verlassen können?

Ist eine schriftliche Genehmigung erforderlich, wenn für Wartungszwecke oder zur Fehleranalyse Kundendaten auf einem Datenträger den Kundenbereich verlassen, und werden solche Fälle protokolliert?

Existiert beim Auftraggeber ein Logbuch, in dem alle Wartungsfälle revisionsfähig aufgezeichnet werden?

Ist eine nachträgliche unerkannte Manipulation dieser Protokolldatei durch Mitarbeiter des Wartungsunternehmens ausgeschlossen?

Sind die Einträge in der Protokolldatei für den Auftraggeber verständlich und nachvollziehbar?

Wird in einem Protokoll festgehalten, auf welche personenbezogenen Daten im Rahmen der Wartung zugegriffen werden musste?

Muss das Wartungspersonal sich den üblichen Überprüfungen bezüglich Zutritts- und Zugangskontrolle unterziehen?