Zugangs- und Zugriffskontrollmaßnahmen Musterklauseln

Zugangs- und Zugriffskontrollmaßnahmen. 3.1 Existiert ein Prozess zur Vergabe von Benutzerkennungen und Zugriffsberechtigungen bei der Neueinstellung und beim Ausscheiden von Mitarbeitern bzw. bei organisatorischen Veränderungen? ☒ definierter Freigabeprozess ☐ kein definierter Freigabeprozess, auf Zuruf ☐ Sonstige Vergabeweise: bitte angeben

Zugangs- und Zugriffskontrollmaßnahmen. Ein differenzierendes Berechtigungskonzept regelt den Zugriff der Mitarbeiter auf die Daten. Es existiert ein definierter Freigabeprozess zur Vergabe von Benutzerkennungen und Zugriffsberechtigungen bei der Neueinstellung und beim Ausscheiden von Mitarbeitern bzw. bei organisatorischen Veränderungen. Die Mitarbeiter haben sich über eine individuelle Kennung gegenüber dem zentralen Verzeichnisdienst zu authentisieren. Im Unternehmen existieren verbindliche Passwortparameter. Die Nutzer werden durch das IT-System zur Einhaltung der Passwortvorgaben gezwungen. Der Bildschirm wird bei Inaktivität des Benutzers gesperrt. Bei Verlust, Vergessen oder Ausspähen eines Passworts vergibt der Administrator ein neues Initialpasswort. Die Anzahl erfolgloser Anmeldeversuche ist auf drei Versuche begrenzt. Wenn die maximale Zahl erfolgloser Anmeldeversuche erreicht wurde, bleiben die Zugänge für einen festgelegten Zeitraum gesperrt. Die Authentisierung bei Fernzugängen erfolgt über ein VPN- Zertifikat und ein Passwort. Die Anzahl von erfolglosen Anmeldeversuchen bei Fernzugängen ist auf 3 Versuche beschränkt. Die Zugänge bleiben für einen festgelegten Zeitraum gesperrt, wenn die maximale Anzahl erfolgloser Anmeldeversuche erreicht worden ist. Die Systeme, auf denen personenbezogene Daten verarbeitet werden, sind über eine Firewall abgesichert, die regelmäßig aktualisiert wird. Die Firewall wird von der eigenen IT administriert. Nicht mehr benötigte Papier-Unterlagen (bspw. Ausdrucke / Akten / Schriftwechsel) werden über Schredder oder über verschlossene Datentonnen, die von einem Entsorgungsdienstleister zur datenschutzkonformen Vernichtung abgeholt werden, entsorgt. Nicht mehr benötigte Datenträger (USB Sticks, Festplatten), auf denen personenbezogene Daten gespeichert sind, werden von der eigenen IT physikalisch zerstört. Mobile Datenträger dürfen im Unternehmen nur von einem restriktiv eingeschränkten Personenkreis verwendet werden. Ansonsten ist eine technische Sperrung eingerichtet. Die Mitarbeiter dürfen keine privaten Datenträger verwenden. Alle benötigten Speichermedien werden vom Unternehmen gestellt. Auf eigenen privaten Geräten werden keine personenbezogenen Daten verarbeitet. Daten auf mobilen Endgeräten (Notebooks) werden verschlüsselt.

Zugangs- und Zugriffskontrollmaßnahmen. Es existiert ein Prozess zur Vergabe von Benutzerkennungen und Zugriffsberechtigungen bei der Neueinstellung und beim Ausscheiden von Mitarbeitern bzw. bei organisatorischen Veränderungen. Jeder Mitarbeiter kann im Rahmen seiner Aufgabenerfüllung nur auf die für seine Tätigkeit notwendigen Systeme und mit der ihm zugewiesenen Berechtigung auf die erforderlichen Daten zugreifen. Die Erteilung der Berechtigungen erfolgt in einem dokumentierten Genehmigungsverfahren. Das Erfordernis der Berechtigung wird regelmäßig überprüft. Es gibt vorgeschriebene Regeln zur Passwortvergabe (Passwort-Richtlinie). Dies betrifft die notwendige Komplexität, die Lebensdauer des Passwortes sowie die Wiederverwendung alter Passwörter. Fernzugänge werden mit Token, VPN-Zertifikat oder Passwort abgesichert. Die Systeme, auf denen personenbezogene Daten verarbeitet werden, sind über eine Firewall abgesichert. Die Firewall wird regelmäßig upgedatet.