Zugriffskontrollen. In Ihren kritischen Systemen muss der Zugriff auf Kartendaten und alle anderen personenbezogenen und relevanten Daten auf vertrauenswürdige Personen innerhalb Ihres Unternehmens beschränkt werden. Niemand soll einen weitergehenden Zugriff auf solche Daten haben als für seinen Aufgabenbereich erforderlich. Ihre Systeme müssen alle Zugriffe, Nutzungen, Änderungen und Löschungen von Kartendaten und anderen personenbezogenen und wichtigen Daten nachverfolgen und protokollieren, damit diese Vorgänge nachträglich geprüft werden können. Sie müssen zudem auch den Zugriff auf Ihre kritischen Systeme und die Ressourcen, auf die sie angewiesen sind – wie z.B. Netzwerke, Firewalls und Datenbanken – einschränken.
Zugriffskontrollen. (a) Es haben ausschließlich Autorisierte Benutzer Zugriff auf Daten, auch wenn diese auf elektronischen oder tragbaren Medien gespeichert sind oder übertragen werden. Autorisierte Benutzer haben nur Zugriff auf diejenigen Daten und Ressourcen, die für die Erfüllung ihrer Aufgaben erforderlich sind.
(b) Es wird ein System zur Gewährung des Zugriffs auf benannte Daten und Ressourcen verwendet.
(c) Es ist halbjährlich zu prüfen, ob die Voraussetzungen für die Beibehaltung der entsprechenden Berechtigungsprofile noch bestehen. Dies kann auch die Liste der Autorisierten Benutzer umfassen, die durch einheitliche Aufgabenkategorien und das entsprechende Autorisierungsprofil erstellt wurden.
(d) Es werden Maßnahmen getroffen, um zu verhindern, dass Benutzer unbefugten Zugriff auf die Informationssysteme erlangen oder diese unbefugt nutzen. Insbesondere sollten Systeme zur Eindringungsvermeidung nach den Leitlinien der Branche für bewährte Praxis installiert werden, um die Informationssysteme vor unbefugtem Zugriff zu schützen.
(e) Die Zugriffskontrollen für Betriebssysteme oder Datenbanken müssen korrekt konfiguriert sein, um zu gewährleisten, dass der Zugriff ausschließlich mit entsprechender Befugnis erfolgt.
(f) Der Zugriff von Benutzern auf die Informationssysteme darf ausschließlich durch entsprechend befugte Mitarbeiter gewährt, geändert oder aufgehoben werden.
Zugriffskontrollen. Ist die Anforderung der Anlage des § 9 BDSG zur Zugriffskontrolle erfüllt? Gibt es Richtlinien zur Einrichtung von Benutzerrechten, zu deren Änderungen und zum Entzug? Erläuterungen / Bemerkungen: Es ist sicher zu stellen, dass die Verarbeitung und Nutzung personenbezogener Daten auf das im Rahmen der Aufgabenzuweisung erforderliche beschränkt wird. Eine Regelung zur Vergabe und zum Entzug von Berechtigungen ist zu organisieren und umzusetzen. Dadurch sind personenbezogene Daten in allen Phasen der Erhebung, Verarbeitung und Nutzung und nach der Speicherung so zu schützen, dass Unbefugte sie weder lesen, kopieren, verändern noch entfernen können. Beispiele: ▪ differenzierte Berechtigungen (Profile, Rollen, Transaktionen, Objekte) ▪ Verschlüsselung der Daten Bei der INFORM GmbH umgesetzte Maßnahmen: • Zentrale Rechteverwaltung für alle Nutzer • Abgeschlossenes Rechtesysytem für die gesamte Infrastruktur in und zwischen den Abteilungen • Differenzierte Berechtigungen für die einzelnen Mitarbeitergruppen • Teilzugriffsmöglichkeiten auf Datenbestände und Funktionen • Sonderzugänge (speziell geschützte PCs) für sensitive Daten (projektspezifisch) • Verschlüsselung und/oder Anonymisierung personenbezogener Daten (projektspezifisch) • Verschlüsselung mobiler Datenträger in kritischen Bereichen • Zentrale zugangsgeschützte Datenbank-Server für die Haltung der Kunden-Testdaten • Nach Ende der Bearbeitung sind die Kundendaten von den Datenbank-Servern zu löschen • Sicherheitsschränke zur Aufbewahrung von Datenträgern
Zugriffskontrollen. IBM wird Kundeninhalte nur Mitarbeitern, Unterauftragnehmern oder Dritten offenlegen, die aus legitimen geschäftlichen Gründen Zugriff auf die Kundeninhalte haben müssen, um IBM bei der Erfüllung ihrer Verpflichtungen gegenüber dem Kunden oder anderen Personen zu unterstützen, soweit dies zur Bereitstellung von IBM SaaS gemäß den geltenden Gesetzen, dem Vertrag oder einem zugehörigen Dokument, sofern anwendbar, erforderlich ist. Ist IBM ein Business Associate (Geschäftspartner) des Kunden, so werden IBM und der Kunde persönliche Gesundheitsdaten nur in Übereinstimmung mit den Bedingungen einer gültigen Business-Associate-Vereinbarung zwischen den Vertragsparteien offenlegen. IBM hat einen formalen internen Zugriffsmanagementprozess für Benutzer etabliert, nach dem der Benutzerzugriff formal angefordert, nach der Identitätsprüfung genehmigt und abhängig vom begründeten Informationsbedarf unter Anwendung des Prinzips der geringsten Rechte erteilt wird. Der Zugriff auf Kundeninhalte ist auf aktive Benutzer und aktive Benutzerkonten beschränkt. Im Rahmen eines formalen Prozesses findet regelmäßig eine interne Revalidierung der Zugriffe aktiver Benutzerkonten statt. IBM verwendet sichere Benutzerauthentifizierungsprotokolle; aktiven Benutzerkonten auf Systemen, die zur Bereitstellung von Services für Kunden dienen, werden eindeutige Kennungen und sichere Kennwörter nach den IBM Sicherheitsstandards und -richtlinien zugeordnet:
a. Kennwörter dürfen keine voreingestellten Kennwörter des Herstellers sein und müssen an Orten und/oder in Formaten aufbewahrt werden, die die Sicherheit der Daten, die sie schützen sollen, nicht gefährden.
b. Kennwörter müssen beim Anzeigen und Drucken maskiert, unterdrückt oder auf andere Weise unkenntlich gemacht werden, sodass unbefugte Dritte diese nicht erspähen oder später wiederherstellen können. Kennwörter dürfen bei der Eingabe nicht protokolliert oder erfasst werden. Benutzerkennwörter dürfen nicht als Klartext gespeichert werden.
c. Kennwörter werden für jede Technologie, einschließlich IBM SaaS, so gewählt, dass Risiken im Zusammenhang mit bekannten Schwachstellen bei der Kennwortlänge begrenzt werden, und müssen dokumentiert werden.
d. Wenn aus betrieblichen Gründen die Verwendung interner, privilegierter, gemeinsam genutzter Funktions-IDs erforderlich ist, übernimmt IBM die Verwaltung der gemeinsam genutzten Funktions- IDs und/oder System-IDs, indem Kennwörter ausgescheckt werden müssen, um die persönliche Verantwortlichke...
Zugriffskontrollen. AWS wird das AWS-Netzwerk nur autorisiertem Personal zugänglich machen und nur, soweit es zur Wartung und Bereitstellung der Dienste erforderlich ist. AWS wird Zugriffskontrollen und -richtlinien aufrechterhalten, um Autorisierungen für den Zugriff auf das AWS-Netzwerk von jedem Netzwerkanschluss und Benutzer zu verwalten, einschließlich der Verwendung von Firewalls oder funktional äquivalenter Technologie sowie Authentifizierungskontrollen. AWS wird Zugriffskontrollen aufrechterhalten, die darauf abzielen, (i) unautorisierten Zugriff auf Daten zu beschränken und (ii) die Daten jedes Kunden von den Daten anderer Kunden zu trennen.
Zugriffskontrollen. Alle insightsoftware-Mitarbeiter erhalten über eine eindeutige Benutzer-ID mit einem komplexen Passwort und einer mehrstufigen Authentifizierung Zugang zur Cloud-Umgebung. Der Zugang zu Systemen und Daten wird Mitarbeitern nur gewährt, wenn dies für die Erfüllung ihrer Aufgaben erforderlich ist und dem Prinzip der geringsten Privilegien entspricht.