Zugriffskontrollen. In Ihren kritischen Systemen muss der Zugriff auf Kartendaten und alle anderen personenbezogenen und relevanten Daten auf vertrauenswürdige Person en innerhalb Ihres Unternehmens beschränkt werden. Niemand soll einen weitergehenden Zugriff auf solche Daten haben als für seinen Aufgabenbereich erforderlich. Ihre Systeme müssen alle Zugriffe, Nutzungen, Änderungen und Löschungen von Kartendaten und and eren personenbezogenen und wichtigen Daten nachverfolgen und protokollieren, damit diese Vorgänge nachträglich geprüft werden können. Sie müssen zudem auch den Zugriff auf Ihre kritischen Systeme und die Ressourcen, auf die sie angewiesen sind – wie z.B. Netzwerke, Firewalls und Datenbanken – einschränken.
Zugriffskontrollen. (a) Es haben ausschließlich Autorisierte Benutzer Zugriff auf Daten, auch wenn diese auf elektronischen oder tragbaren Medien gespeichert sind oder übertragen werden. Autorisierte Benutzer haben nur Zugriff auf diejenigen Daten und Ressourcen, die für die Erfüllung ihrer Aufgaben erforderlich sind.
Zugriffskontrollen. Ist die Anforderung der Anlage des § 9 BDSG zur Zugriffskontrolle erfüllt? Gibt es Richtlinien zur Einrichtung von Benutzerrechten, zu deren Änderungen und zum Entzug? Erläuterungen / Bemerkungen: Es ist sicher zu stellen, dass die Verarbeitung und Nutzung personenbezogener Daten auf das im Rahmen der Aufgabenzuweisung erforderliche beschränkt wird. Eine Regelung zur Vergabe und zum Entzug von Berechtigungen ist zu organisieren und umzusetzen. Dadurch sind personenbezogene Daten in allen Phasen der Erhebung, Verarbeitung und Nutzung und nach der Speicherung so zu schützen, dass Unbefugte sie weder lesen, kopieren, verändern noch entfernen können. Beispiele: ▪ differenzierte Berechtigungen (Profile, Rollen, Transaktionen, Objekte) ▪ Verschlüsselung der Daten Bei der INFORM GmbH umgesetzte Maßnahmen: • Zentrale Rechteverwaltung für alle Nutzer • Abgeschlossenes Rechtesysytem für die gesamte Infrastruktur in und zwischen den Abteilungen • Differenzierte Berechtigungen für die einzelnen Mitarbeitergruppen • Teilzugriffsmöglichkeiten auf Datenbestände und Funktionen • Sonderzugänge (speziell geschützte PCs) für sensitive Daten (projektspezifisch) • Verschlüsselung und/oder Anonymisierung personenbezogener Daten (projektspezifisch) • Verschlüsselung mobiler Datenträger in kritischen Bereichen • Zentrale zugangsgeschützte Datenbank-Server für die Haltung der Kunden-Testdaten • Nach Ende der Bearbeitung sind die Kundendaten von den Datenbank-Servern zu löschen • Sicherheitsschränke zur Aufbewahrung von Datenträgern
Zugriffskontrollen. IBM wird Kundeninhalte nur Mitarbeitern, Unterauftragnehmern oder Dritten offenlegen, die aus legitimen geschäftlichen Gründen Zugriff auf die Kundeninhalte haben müssen, um IBM bei der Erfüllung ihrer Verpflichtungen gegenüber dem Kunden oder anderen Personen zu unterstützen, soweit dies zur Bereitstellung von IBM SaaS gemäß den geltenden Gesetzen, dem Vertrag oder einem zugehörigen Dokument, sofern anwendbar, erforderlich ist. Ist IBM ein Business Associate (Geschäftspartner) des Kunden, so werden IBM und der Kunde persönliche Gesundheitsdaten nur in Übereinstimmung mit den Bedingungen einer gültigen Business-Associate-Vereinbarung zwischen den Vertragsparteien offenlegen. IBM hat einen formalen internen Zugriffsmanagementprozess für Benutzer etabliert, nach dem der Benutzerzugriff formal angefordert, nach der Identitätsprüfung genehmigt und abhängig vom begründeten Informationsbedarf unter Anwendung des Prinzips der geringsten Rechte erteilt wird. Der Zugriff auf Kundeninhalte ist auf aktive Benutzer und aktive Benutzerkonten beschränkt. Im Rahmen eines formalen Prozesses findet regelmäßig eine interne Revalidierung der Zugriffe aktiver Benutzerkonten statt. IBM verwendet sichere Benutzerauthentifizierungsprotokolle; aktiven Benutzerkonten auf Systemen, die zur Bereitstellung von Services für Kunden dienen, werden eindeutige Kennungen und sichere Kennwörter nach den IBM Sicherheitsstandards und -richtlinien zugeordnet:
Zugriffskontrollen. Alle insightsoftware-Mitarbeiter erhalten über eine eindeutige Benutzer-ID mit einem komplexen Passwort und einer mehrstufigen Authentifizierung Zugang zur Cloud-Umgebung. Der Zugang zu Systemen und Daten wird Mitarbeitern nur gewährt, wenn dies für die Erfüllung ihrer Aufgaben erforderlich ist und dem Prinzip der geringsten Privilegien entspricht.