BEGIN:VCALENDAR VERSION:2.0 PRODID:https://github.com/derhansen/sf_event_mgt METHOD:PUBLISH BEGIN:VEVENT UID:628-1320@fg-secmgt.gi.de CLASS: PUBLIC SUMMARY:Wie arbeiten Datenschutz und Management von Informationssicherheit optimal zusammen? DESCRIPTION:Die Themen\n\n Datenschutzmanagement und IT-Sicherheitsmanagem ent IT-Grundschutz als Basis für ein Datenschutzaudit Überblick über best ehende Datenschutz-Zertifikate Turnusmäßige Wahl eines Leitungsgremiums fü r 3 Jahre \n\n\n\nZur Wahl des Leitungsgremiums\n\nAlle drei Jahre wird ein e Wahl des Leitungsgremiums einer Fachgruppe fällig, die Wahl des Leiters u nd seines Stellvertreters erfolgt dann aus diesem Gremium.\n\nWählen dürfen (Aktives Wahlrecht) dabei alle anwesenden FG-Mitglieder, gewählt werden kö nnen nur GI-Mitglieder (passives Wahlrecht).\n\nEine vorläufige Kandidatenl iste wurde innerhalb der Fachgruppe bekanntgegeben. Kandidaten, die GI-Mitg lieder sein müssen, können sich noch bis zum 17.5.2004 schriftlich erklären oder sich am 17.5.2004 bei der Wahlversammlung selbst als Kandidaten zur V erfügung stellen!\n\n\n\nBericht zum Workshop und Details zu den Vorträgen\ n\nJ. Voßbein: Datenschutzmanagement und IT-Sicherheitsmanagement - zwei en g verbundene Aufgabengebiete\n\nIn einer allgemeinen Einführung in die Situ ation der DS-Gesetzgebung wird darauf hingewiesen, dass in Deutschland vers chiedene Regelungen für den Datenschutz von juristischen und natürlichen Pe rsonen bestehen, in der Schweiz dagegen nicht. Die Bestimmungen sind in den verschiedensten Gesetzen verstreut. Für eine Klinik waren z.B. über 35 Ges etze, die z.T. miteinander im Widerspruch waren, zu beachten. Es werden Spe zifika erläutert, wie z.B. mit dem Trennungsgebot in Bezug auf Teildaten um zugehen ist. Die ermutigende Tendenz dabei ist, dass es genügt, wenn eine e ntsprechende Zugriffskontrolle wirksam ist. Die Daten können dann durchaus in einer gemeinsamen Datenbank gehalten werden und auch bzgl. Backup etc. g emeinsam bearbeitet werden.\n\nKonflikte bestehen zwischen Datenschutz und Sicherheits-Logging (das zur Abschreckung und zur Rückverfolgbarkeit von Si cherheitsvorfällen als Mittel der Wahl gilt): es genügt meist auch hier, da ss die Zweckbindung festgeschrieben wird (und per Maßnahmen sichergestellt wird). Zusätzlich sind entsprechende Vereinbarungen im Arbeitsvertrag notwe ndig.\n\nWichtig für das Zusammenspiel mit der IT-Sicherheit scheint die fo lgende Formulierung in den Bestimmungen zu sein: Der Datenschutzbeauftragte muss auf die Einhaltung der Vorschriften hinwirken, er muss sie also nicht selbst durchsetzen!\n\nDatenschutz im Zusammenhang mit Voice-over-IP ist b esonders komplex!\n\nZur Diskussion möglicher Zusammenhänge der beiden Mana gementsysteme:\n\nHerr Dr. Voßbein favorisiert den folgenden Vorschlag zu e iner Harmonisierung:\n\nEs sollen zwei weitgehend überlappende Management-H ierarchien etabliert werden, insbesondere also zwei getrennte Spitzen, da d ie Anforderungen für den Datenschutzbeauftragten und IT-Sicherheits-Manager verschieden sind. Wobei sich die betroffenen Organisationen / Firmen nochm al deutlich unterscheiden können. Häufig ist z.B. der Datenschutzbeauftragt e ein Jurist - besonders bei Firmen ab einer bestimmten Größe und Behörden, obwohl das spezifische Datenschutz-Wissen nicht Teil der juristischen Ausb ildung ist. Der IT-Sicherheits-Officer ist dagegen eher ein IT-Fachmann. Kl eine Firmen können sich keinen Juristen leisten. Tatsächlich ist beim Daten schutzbeauftragten ein breites Grundwissen (vergl. GDD "Anforderungsprofil für einen Datenschutzbeauftragten"), insbesondere auch breites technisches Verständnis notwendig. Insbesondere für kleine und mittelständische Unterne hmen kann hingegen eine Personalunion beider Rollen von Vorteil sein, da hä ufig nicht ausreichend Kompetenz für die getrennte Besetzung beider Stellen vorhanden ist.\n\nIn einem "Sicherheitsforum" gemäß BS 7799 sollte jedenfa lls der Datenschutzbeauftragte vertreten sein. Der Datenschutzbeauftragte h at auch oft die Rolle eines Vermittlers zwischen Personalvertretung und Fir menleitung. In Summe gibt Herr Dr. Voßbein ein Plädoyer für BS 7799 als ein e geeignete Norm, um Datenschutz zu unterstützen, wie auch durch die Möglic hkeit der Zertifizierung des Datenschutzsystems auf Basis der BS 7799-2 bel egt wird.\n\nZum Einzelpunkt des Datenschutz-Handbuchs plädiert Herr Dr. Vo ßbein, dies ins Sicherheits-Handbuch zu integrieren. Die Fortschreibungsver antwortung muss dann Abschnitts- oder Kapitelweise festgelegt werden.\n\nDi e in 7799 Teil 2 besonders hervorgehobene Verbesserungs-Schleife (PDCA-Zykl us)als wesentlicher Teil eines Managementsystems wurde in den Ausführungen von Herrn Dr. Voßbein nicht besonders erwähnt. Hauptauslöser für erforderli che Änderungen auf Seiten der Risiko-Betrachtung scheinen neue Gesetze oder deren Auslegungen zu sein. Eine Bedrohung von außen wie bei Security durch besondere Vorkommnisse spielt auf der Datenschutzseite eher nur eine gerin ge Rolle, sie betrifft eher das Sicherheitsmangement.\n\n[  Präsentation al s PDF]  \n\nF. Reiländer: IT-Grundschutz als Basis für ein Datenschutzaudit \n\nDatenschutz erstreckt sich viele Bereiche des öffentlichen Lebens. Deut schland hat besonders ausgeprägte Anforderungen, die zusätzlich vom Bund üb er die Länder bis zu den Kirchen noch verschiedene Ausgestaltungen erfahren haben. Die Gesetze sehen vor, dass die Erreichung eines adäquaten Datensch utzniveaus prinzipiell anhand eines Audits überprüft werden kann. Konkrete Vorgaben fehlen jedoch.\n\nGenerell wird von zahlreichen Datenschutzbeauftr agten die Anwendung des Grundschutzhandbuchs empfohlen. Neuere Tendenzen (B eispiel: Novelle des BDSG Mai 2001) orientieren sich explizit an Begriffen und Methoden der IT-Sicherheit. Konkrete Abbildungen fehlen jedoch. Auf Bas is des Grundschutzhandbuchs hat Reiländer eine Datensicherheitssicht auf ex istierende Grundschutzmaßnahmen eröffnet. Eindrucksvoll ist eine von Herrn Reiländer zusammengestellte Überblicks-Matrix über die als Kontroll- bzw. S icherheitsziele zusammengefassten technischen und organisatorischen Maßnahm en der einzelnen Datenschutzgesetze. Die Vielfalt der Landschaft von Datens chutz-Regelungen ist in einer Erweiterung der IT-Sicherheitsdatenbank SAVe hinterlegt und kann so standardisiert erfasst werden.\n\nDa auch die Aufsic ht dezentralisiert ist, stellt die Vielfalt für betroffenen Organisationen /Firmen eine prinzipielle Rechtsunsicherheit dar. (Die Aufsichtsbehörden si nd allerdings nicht rechtsbestimmend. Prozesse gegen ihre Entscheidungen we rden in naher Zukunft erwartet.) Das von Herrn Reiländer vorgestellte Tool zur automatischen Überprüfung der Konformität mit den verschiedenen Datensc hutz-Gesetzen kann helfen, die Vielfalt der unterschiedlichen Anforderungen zu beherrschen. Eine angezeigte weitgehende Überlappung der Erfüllung kann z.B. die subjektive Sicherheit für die Organisation deutlich erhöhen.\n\nD ie Basis für die Auswertung durch das Tool ist das GSHB (es wird eine Daten schutzsicht auf bestehende Grundschutzerhebungen eröffnet), erweitert um 40 0 Datenschutz-spezifische Fragen zur Prüfung der Datenschutz-Organisation. Nicht alle Aspekte gleich gut abgedeckt (weniger erfasst sind z.B. "Zulässi gkeits- und Zweckbestimmungsbetrachtungen" oder auch Grundschutzmaßnahmen d ie das "Trennungsgebot" unterstützen). Aber das GSHB ist anerkannter Standa rd, dort nicht enthaltene Techniken stellen zwar eine prinzipielle Lücke da r, sind aber erfahrungsgemäß in der Praxis - durch geeignete Abbildung auf die im GSHB enthaltenen Techniken - meist gut einbindbar.\n\n[Präsentation als PDF]\n\n P. Reymann: Überblick über bestehende Datenschutz-Zertifikate - Anregungen zur Erstellung eines Zertifikats-Überblicks in Bezug auf Secur ity\n\nThese: Es existiert eine Vielzahl von Zertifikaten für Personen, Pro dukte und Verfahren, wobei nur ein Bruchteil hiervon strukturiert entwickel t und korrekt fundiert wurde. Neben direkt gesetzlich strukturierten Verfah ren wie dem Datenschutz-Gütesiegel des Landes Schleswig-Holstein existieren solche, die ihren Anspruch auf Korrektheit aus der jeweiligen Akkreditieru ng der Prüfstellen ableiten. - Die Mehrheit der Zertifikate basiert jedoch auf einem Vertrauensverhältnis zwischen Herausgeber und Kunden.\n\nDas Chao s sollte zumindest an einer Stelle dokumentiert werden. Eine entsprechende Katalogisierung des Marktes ist bisher nur in Einzelbereichen vorhanden. Di e Fachgruppe EZQN, die auf mit mehreren Mitgliedern im DIN e.V. vertreten i st, möchte innerhalb der GI zunächst eine experimentelle Sammel- und Anspre chstelle einrichten. Hr. Reymann, der in Personalunion in beiden FGs tätig ist, benötigt für den Aufbau eines Web-Interface mit angeschlossener Datenb ank Unterstützung und möchte diese im Kreis der Mitgliede der Gruppe SECMGT einwerben. Die Datenbank soll bis Ende 2004 in einem Entwurf lauffähig sei n, um bei weiteren Veranstaltungen einen breiteren Publikumskreis zum "Füll en" der Datenbasis mobilisieren zu können.\n\nWelche rechtlichen Regelungen langfristig benötigt werden, ist bisher ebenfalls unklar. Die These von He rrn Reymann ist, dass eine staatliche Regulierung vermieden werden sollte, und dass eine Selbstregulierung angestrebt werden muss. (Frankreich mit sei ner genehmigungspflichtigen Datenverarbeitung (CNIL) wird hier als negative s Beispiel gesehen.).\n\nOffen bleibt ein breiterer Überblick der Behandlun g der Themen Datenschutz und Zertifikate im Ausland. In Deutschland scheine n im Vergleich stringentere, ggf. sogar ideologisch geprägte Positionen ein genommen zu werden. Aktuelle Ausgangspunkte hierfür sind auch im Bereich de r Terrorgefahren zu sehen.\n\nBei Interesse an einer AKTIVEN Mitarbeit beim Aufbau der Zertifikats-Datenbank wenden Sie sich bitte direkt an Herrn Rey mann [pr-at-itqs.de oder 040/52877350].\n\n[Präsentation als PDF]  \n\nIn e igener Sache: Datenschutz für Verteiler der GI und der FG SECMGT\n\nHerr St iegler berichtet über die (neue) Politik der GI in Bezug auf Verteiler.\n\n Ausgangspunkt: Aus Sicht der GI sind alle GI-Mitglieder, die Interesse an d er FG per Formular angemeldet haben, Mitglieder der FG, die über wichtige E reignisse informiert werden müssen, auch wenn sie sich nicht bei der FG mit einer Email-Adresse gemeldet haben. Insgesamt kommt die FG, die ja GI und Nicht-GI-Mitglieder enthält, aktuell auf ca. 180 Personen.\n\nGI-Mitglieder -Information: Die GI wird nun aus Datenschutzgründen in Zukunft die Verteil ung von Information an GI-Mitglieder sich selbst vorbehalten. GI-Mitglieder und bei der FG direkt gemeldete FG-Mitglieder, deren GI-Mitgliedschaft in der FG ja nicht geführt wird, erhalten damit entsprechende Information ggf. doppelt. Die FG-Leitung wird deshalb die Informationsverteilung über die G I möglichst einschränken. Über die Website der FG sind mit geringer zeitlic her Verspätung die meisten Informationen aktiv abrufbar.\n\nInformationsaus tausch zwischen FG-Mitgliedern: Aufgrund der Größe der Gruppe und der stark wechselnden Teilnehmer soll in Zukunft Informationen über die Teilnehmer e iner Veranstaltung nur noch an die Teilnehmer selbst gehen. Mails der FG-Le itung werden als Blind-Copy an den FG-intern verwalteten Verteiler verschic kt, wodurch auch keine Verteilerinfo mehr in den Rechnern einzelner FG-Mitg lieder (von Würmern etc.) mißbraucht werden kann.\n\nThemenvorschläge für f olgende Treffen:\n\n Praxiserfahrung von CISOs (mögliche Kandidaten u.a. s ind Hr Postl, Hr. Keller) Organisationsprobleme: Hr. S. Haack (Erfahrung a us Diskussion von Reorganisationen), Fr. Münch (Vorschläge aus dem GSHB) H erstellertag: Was tun sie zur Unterstützung des Sicherheits-Managements? Hi erbei könnte MS, Oracle, Suse, SUN, SAP gefragt werden! \n\nNächster Termin : Do. 14. Oktober, (wieder) in Frankfurt-Niederrad bei DB Systems auf Einla dung von Herrn Dr. Damm LOCATION:Computer Associates DTSTAMP:20180726T171125Z DTSTART:20040517T083000Z DTEND:20040517T151500Z END:VEVENT END:VCALENDAR