Zugangs- und Zugriffskontrollmaßnahmen. 3.1 Existiert ein Prozess zur Vergabe von Benutzerkennungen und Zugriffsberechtigungen bei der Neueinstellung und beim Ausscheiden von Mitarbeitern bzw. bei organisatorischen Veränderungen? ☐ definierter Freigabeprozess ☐ kein definierter Freigabeprozess, auf Zuruf ☐ Sonstige Vergabeweise: bitte angeben
3.2 Werden die Vergabe bzw. Änderungen von Zugriffsberechtigungen protokolliert? ☐ ja ☐ nein
Zugangs- und Zugriffskontrollmaßnahmen. Ein differenzierendes Berechtigungskonzept regelt den Zugriff der Mitarbeiter auf die Daten. Es existiert ein definierter Freigabeprozess zur Vergabe von Benutzerkennungen und Zugriffsberechtigungen bei der Neueinstellung und beim Ausscheiden von Mitarbeitern bzw. bei organisatorischen Veränderungen. Die Mitarbeiter haben sich über eine individuelle Kennung gegenüber dem zentralen Verzeichnisdienst zu authentisieren. Im Unternehmen existieren verbindliche Passwortparameter. Die Nutzer werden durch das IT-System zur Einhaltung der Passwortvorgaben gezwungen. Der Bildschirm wird bei Inaktivität des Benutzers gesperrt. Bei Verlust, Vergessen oder Ausspähen eines Passworts vergibt der Administrator ein neues Initialpasswort. Die Anzahl erfolgloser Anmeldeversuche ist auf drei Versuche begrenzt. Wenn die maximale Zahl erfolgloser Anmeldeversuche erreicht wurde, bleiben die Zugänge für einen festgelegten Zeitraum gesperrt. Die Authentisierung bei Fernzugängen erfolgt über ein VPN- Zertifikat und ein Passwort. Die Anzahl von erfolglosen Anmeldeversuchen bei Fernzugängen ist auf 3 Versuche beschränkt. Die Zugänge bleiben für einen festgelegten Zeitraum gesperrt, wenn die maximale Anzahl erfolgloser Anmeldeversuche erreicht worden ist. Die Systeme, auf denen personenbezogene Daten verarbeitet werden, sind über eine Firewall abgesichert, die regelmäßig aktualisiert wird. Die Firewall wird von der eigenen IT administriert.
Zugangs- und Zugriffskontrollmaßnahmen. Es existiert ein Prozess zur Vergabe von Benutzerkennungen und Zugriffsberechtigungen bei der Neueinstellung und beim Ausscheiden von Mitarbeitern bzw. bei organisatorischen Veränderungen. Jeder Mitarbeiter kann im Rahmen seiner Aufgabenerfüllung nur auf die für seine Tätigkeit notwendigen Systeme und mit der ihm zugewiesenen Berechtigung auf die erforderlichen Daten zugreifen. Die Erteilung der Berechtigungen erfolgt in einem dokumentierten Genehmigungsverfahren. Das Erfordernis der Berechtigung wird regelmäßig überprüft. Es gibt vorgeschriebene Regeln zur Passwortvergabe (Passwort-Richtlinie). Dies betrifft die notwendige Komplexität, die Lebensdauer des Passwortes sowie die Wiederverwendung alter Passwörter. Fernzugänge werden mit Token, VPN-Zertifikat oder Passwort abgesichert. Die Systeme, auf denen personenbezogene Daten verarbeitet werden, sind über eine Firewall abgesichert. Die Firewall wird regelmäßig upgedatet.