Quelle

Erweiterte ISDS Dokumentation für Vertragspartner von IV-Stellen

1 Zweck des Dokuments

Das ISDS-Konzept legt die nötigen Angaben zur Erhaltung und Verbesserung der Informationssicherheit und des Datenschutzes fest. Es fasst die Aspekte der Informationssicherheit und des Datenschutzes de entsprechenden IT-Systeme oder Services zusammen und beschreibt das IT-System als Ganzes, dokumentiert die Risikoanalyse sowie die getroffenen Schutzmassnahmen. Management Summary Das Management-Summary fasst den Zweck des Vertragsgegenstandes, die Ergebnisse aus der Schutzbedarfsanalyse sowie die getroffenen Massnahmen kurz zusammen. Es sollte so geschrieben sein, dass es auch für technisch nicht-versierte Menschen gut verständlich ist. Das Management-Summary fasst zudem die verbliebenen Restrisiken zusammen, die durch mit der Abnahme des vorliegenden ISDS-Konzepts durch die Geschäftsleitung getragen werden. Es wird empfohlen, das Management-Summary am Schluss der Erstellung (nach dem ersten Review) zu verfassen Allgemeines Zusammenfassung der Angaben im Dokument über die getätigte Risikoanalyse, die Informationssicherheit und den Datenschutz. Zeigt ein Bild über das vorhandene Risikopotential des untersuchten Systems auf. Zusammenfassung Restrisiken Aus dem Kapitel 6.1 ist die Zusammenfassung und Beurteilung der Restrisiken zu erstellen. Der Entscheid darüber, ob die Restrisiken in Kauf genommen werden, obliegt den Vertragspartnern. Abschliessende Bemerkungen Abschliessende wichtige Bemerkungen und Fazits zum vorliegenden Vertragsobjekt. Verzeichnis der sicherheitsrelevanten Dokumente Hier sind die rechtlichen Grundlagen anzuführen auf die sich das (zu realisierende) IT-Vorhaben abstützt. Neben behördlichen Vorgaben (Gesetzen, Verordnungen, Weisungen) sind auch interne Dokumente aufzuführen. Risiken und Gefahren können teilweise durch übergeordnete Sicherheitskonzepte oder SLA abgedeckt sein. Diese Dokumente sind hier aufzuführen. Dokumententyp Titel Gesetz SR 235.1 Bundesgesetz über den Datenschutz (DSG) SR 152.1 Bundesgesetz über die Archivierung (Archivierungsgesetz, BGA) Verordnung AS 2022 568 - Datenschutzverordnung SR 235.11 Verordnung zum Bundesgesetz über den Datenschutz (VDSG) SR 172.010.58 Verordnung über die Koordination der digitalen Transformation und die IKT-Lenkung in der Bundesverwaltung (VDTI) SR 172.010.442 Verordnung über die Bearbeitung von Personendaten, die bei der Nutzung der elektronischen Infrastruktur des Bundes anfallen Weisung

Weisungen des BSV (W-ISDS, weitere) Strategie Übergeordnete Sicherheitskonzepte SLA Weitere interne Dokumente Vom Verfasser zu ergänzen Einstufung an Hand Schutzbedarfsanalyse Die Einstufung des Vertragsobjektes/Services muss gemäss Schutzbedarfsanalyse (Schuban), vorgenommen werden. Mit den Beurteilungen in der Schuban sollen auch allfällige finanzielle Folgen von Sicherheitsbedürfnissen geschätzt und im Dokument beschrieben werden. Die Zusammenfassung sowie die Einstufung der Schuban soll hier in Tabellenform dargestellt werden. Ergebnis der Einstufung Vertraulichkeit: Werden Personendaten bearbeitet ? Wenn ja, besteht ein hohes Risiko ? Klassierung gemäss internen Richtlinien, z. B. intern, vertraulich, … Anforderungen an Vertraulichkeit (erhöht/nicht erhöht) Verfügbarkeit: Maximal zulässige Ausfalldauer, z. B. <2 Std, <8 Std, <12 Std, mehr als 12 Std Maximal zulässiger Datenverlust, z. B. 30 Min, 2 Std, 24 Std Notwendigkeit von IT Service Continuity Management (ITSCM) als Teil des Business Continuity Managements Integrität: Bestehen spezielle Anforderungen an die Integrität ? Nachvollziehbarkeit: Bestehen spezielle Anforderungen an die Nachvollziehbarkeit ? Erkenntnis aus der Schuban Normaler oder erhöhter Schutzbedarf Sicherheitsrelevante Systembeschreibung Verdichtete Beschreibung der sicherheitsrelevanten Elemente aus dem System, den Anwendungen, den vorhandenen und bearbeiteten Datensammlungen und den dazugehörenden Prozessen. Ansprechpartner und Verantwortlichkeiten Wer Name Ansprechpartner IV Stelle Ansprechpartner beim Vertragspartner ISBD Vertragspartner ISBO IV Stelle weitere Stellen Beschreibung des Gesamtsystems/Vertragsobjekt Beschreibung des Systems als Ganzes sowie der sicherheitsrelevanten Funktionalitäten wie Rollenkonzepte, Authentisierungsmethode, Backup, Support- und Wartungsprozesse (evtl. Fernwartung), SLA etc. Es können auch Verweise auf entsprechende Dokumente (Name, Erstellungsdatum, Speicherort, etc.) gemacht werden. Die Beschreibung soll so ausgeführt sein, dass er vollständig und auch für Unbeteiligte verständlich und nachvollziehbar formuliert ist. Beschreibung der zu bearbeitenden Daten Beschreibung der Daten und Strukturen (z.B. verwendete Datenbank). Folgende Fragen müssen bei der Bearbeitung von Personendaten geklärt bzw. sollen beschrieben sein: - Ist die Datensammlung beim EDÖB angemeldet?

Bei diesem Punkt geht es darum, festzustellen ob die Datenbearbeitung den Vorgaben des Datenschutzgesetztes genügt. Insbesondere ist zu prüfen ob eine Datensammlung beim EDÖB angemeldet werden muss oder nicht.

  • Ist ein Bearbeitungsreglement zu erstellen? Hilfe dazu finden Sie im Template Bearbeitungsreglement sowie in der Verordnung zum DSG und unter dem Link Leitfaden zu den technischen und organisatorischen Massnahmen des Datenschutzes Wenn ja, Verweis zum entsprechenden Dokument.

  • Besteht eine gesetzliche Grundlage zur elektronischen Bearbeitung der Daten?

  • Müssen die Daten dem Bundesarchiv elektronisch zur Verfügung gestellt werden?

  • Bei klassifizierten Informationen sind die ISchV & die detaillierten Bearbeitungsvorschriften (nur im Intranet verfügbar) zu beachten Architekturskizze & Kommunikationsmatrix Hier eine Architekturskizze und eine Kommunikationsmatrix einfügen oder auf das entsprechende aktuell gehaltene Dokument verweisen. Beschreibung der zugrundeliegenden Technik Beschreibung der verwendeten Techniken wie Serverplattform, Betriebssystem(e), Systemumfeld, verwendete Netzwerke, Kryptographische Funktionen etc. Sie sollen so beschrieben sein, dass es vollständig ist und auch für Unbeteiligte verständlich und nachvollziehbar. Alternativ kann auf das entsprechende aktuell gehaltene Dokument verwiesen werden. Risikoanalyse und Schutzmassnahmen Beschreibung der relevanten Risikofaktoren (Verfügbarkeit, Vertraulichkeit, Integrität und Nachvollziehbarkeit), Auflistung und Bewertung der Risiken, inkl. der Risiken. Die detaillierte Risikoanalyse ist anhand der zum Konzept/zur DSFA gehörenden Excel-Datei vorzunehmen. Hinweise zum Ausfüllen sind im Excel-Dokument zu finden. Ergebnisse aus der Risikoanalyse: In der Arbeitsmappe «Restrisikomatrix» ist beschrieben, in welcher Kategorie sich das beurteilte Restrisiko befindet. Grün: sind Risiken die entweder inhärent (im Service als solche) sind oder aber vernachlässigt werden können. Sollen mit einfachen Massnahmen minimiert werden können. Gelb: Risiken deren Auswirkungen erheblich sind und deshalb reduziert werden müssen. Rot: Grosse Risiken deren Auswirkungen kritisch bis katastrophal sind. Diese Risiken müssen unbedingt reduziert werden.

Risiken die nicht oder ungenügend reduziert werden (aus der Restrisikomatrix rot oder gelb markiert), müssen im ISDS-Konzept (Kapitel 6.1) ausgewiesen werden. Sie sind auszuweisen und dem Auftraggeber und dem Geschäftsprozessverantwortlichen schriftlich zur Kenntnis zu bringen. Der Entscheid darüber, ob bekannte Restrisiken in Kauf genommen werden, obliegt dem Leiter der zuständigen Verwaltungseinheit.

Die Restrisiken müssen auch im Management-Summary (Kapitel 2.2) kurz zusammengefasst werden. Restrisiken Hier ist das Abbild des Rasters «Restrisikomatrix» aus der Risikoanalyse einzufügen. Die Nachfolgende Tabelle liefert eine Übersicht und Begründung zu den verbleibenden Risiken welche eine Einstufung von «rot» oder «gelb» aufweisen Nr. Risiko Begründung Erhöhte Restrisiken (rot) Risiko-Nr. Risiko Bewertung Massnahme(n) Umsetzungsgrad % Verantwortlich Umsetzung Ausstehend Bemerkung Erhöhte Restrisiken (gelb) Risiko-Nr. Risiko Bewertung Massnahme(n) Umsetzungsgrad % Verantwortlich Umsetzung Ausstehend Bemerkung Besonders zu beachtende Punkte Allfällige relevante Punkte aufführen Wiederherstellung des Geschäftsbetriebes Bei einem Service, welcher kritische Geschäftsprozesse unterstützt, ist ein Notfallkonzept zu erstellen. Dieses beschreibt die Notfallplanung und Katastrophenvorsorge Vertragsobjektes/Service, um die Aufrechterhaltung und Wiederherstellung der Geschäftsfähigkeit in ausserordentlichen Situationen zu gewährleisten. Einhaltung / Überprüfung / Abnahme der Schutzmassnahmen Beschreibt die Regelung zur Durchführung von angemeldeten oder unangemeldeten Revisionen und Überprüfungen der Informationssicherheitsaktivitäten im Projekt und anschliessend im Betrieb. Systemabnahmeprüfung Neue und aktualisierte Systeme müssen während der Entwicklungsprozesse eine gründliche Überprüfung und Verifizierung erfahren, einschliesslich der Vorbereitung einer detaillierten Planung der Aktivitäten, Testeingaben und erwarteten Ausgaben unter verschiedenen Bedingungen. Wie bei internen Entwicklungsvorhaben sollten derartige Prüfungen zunächst vom Entwicklungsteam durchgeführt werden. Danach sollten unabhängige Abnahmeprüfungen unternommen werden (sowohl bei internen als auch bei ausgelagerten Entwicklungsvorhaben), um sicherzustellen, dass das System wie erwartet (und nur wie erwartet) funktioniert (siehe ISO/IEC 27002:2013 Kapitel 14.1.1 und 14.1.2). Der Umfang der Prüfungen sollte der Bedeutung und der Beschaffenheit des Systems entsprechen. Zusammenfassung des durchgeführten Audits (wer, wann, was, Resultat). Ausserbetriebnahme Beschreibt die zu beachtenden Punkte bei der Ausserbetriebnahme wie Vernichtung von Datenträgern, Aufhebung von Berechtigungen, Anpassung von Zugriffsrechten etc. Abkürzungen Definitionen, Akronyme und Abkürzungen Begriff / Abkürzung Bedeutung

AV Anwendungsverantwortlicher DSBO Datenschutzberater der Verwaltungseinheit DSG Eidgenössisches Datenschutzgesetz EDÖB Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter ISBO Informatiksicherheitsbeauftragter der Organisationeinheit ISBD Informatiksicherheitsbeauftragter des Departements ISDS-Konzept Informationssicherheits- und Datenschutzkonzept NCSC Nationales Zentrum für Cybersicherheit Schuban Schutzbedarfsanalyse SLA Service Level Agreement SV Systemverantwortlicher VDSG Verordnung zum Datenschutzgesetz Anhang Hier werden entsprechend weitergehende Dokumente angefügt, mindestens

  • Schutzbedarfsanalyse

  • Risikoanalyse