ISDS-Konzept

Projektname

Klassifizierung	Wählen Sie ein Element aus.
Status	Wählen Sie ein Element aus.
Programmname
Projektnummer
Projektleiter	Projektleiter
Version	0.1
Datum	Klicken Sie hier, um ein Datum einzugeben.
Auftraggeber	Auftraggeber
Autor/Autoren
Verteiler

Änderungsverzeichnis

Version	Datum	Änderung	Autor
0.1

Tabelle 1:	Änderungskontrolle

Beschreibung

Das ISDS-Konzept bildet die Grundlage für die Festlegung der Massnahmen für Informationssicherheit und Datenschutz (ISDS). Es zeigt die Restrisiken auf, die mit dem Betrieb des Systems und der Organisation verbunden sind.

Kursiver Text im Dokument: Hinweise zur Verwendung oder Beispiele - entsprechend anzupassen oder zu löschen.

Verzeichnis der sicherheitsrelevanten Dokumente

Die Liste beinhaltet die Auflistung aller informationssicherheitsrelevanten Gesetzte, Verordnungen, Weisungen, Regelungen, technische Spezifikationen etc., sie ist ggfs. durch organisationsinterne Dokumente zu ergänzen.

Nr.	sicherheitsrelevantes Dokument	Beschreibung
01	Gesetz	SR 235.1 Bundesgesetz vom 19. Juni 1992 über den Datenschutz (DSG)
02	SR 152.1 Bundesgesetz vom 26. Juni 1998 über die Archivierung (Archivierungsgesetz, BGA)
03	Verordnung	ISB - Bundesinformatikverordnung
04	SR 510.411 Informationsschutzverordnung (ISchV), Intranet
05	SR 235.11 Verordnung vom 14. Juni 1993 zum Bundesgesetz über den Datenschutz (VDSG)
06	SR 172.010.442 Verordnung über die Bearbeitung von Personendaten, die bei der Nutzung der elektronischen Infrastruktur des Bundes anfallen
07	Weisung	ISB - Weisungen des Bundesrates über die Informatiksicherheit in der Bundesverwaltung WIsB
nn	Strategie
nn	Leitbild
nn	Methode
nn	Tech. Spez.
nn	Konzept

Tabelle 2:	sicherheitsrelevante Dokumente

Einstufung aufgrund der Schutzbedarfsanalyse

Text, das Projekt wurde am 12.02.2022 durch Bea Keller, Firma ABC AG, und den Projektleiter Hans Meier gemäss Schutzbedarfsanalyse eingestuft …

Sicherheitsrelevante Systembeschreibung

Ansprechpartner / Verantwortlichkeiten

Nr.	Funktion	Name
01	Accountmanager	Bea Keller, ABC
02	Systembetreiber	Firma XY
03	Projektleiter / Ansprechpartner beim LE	Hans Meier
nn	Inhaber der Daten	Peter Klein
nn	Anwendungsverantwortlicher	Ida Gross
nn	Benutzerkreis	Organisation A Organisation B Firma XY

Tabelle 3:	Ansprechpartner / Verantwortlichkeiten

Beschreibung des Gesamtsystems

Text, beispielsweise: Eingesetzt wird Adobe Experience Manager. Adobe Experience Manager ist eine umfassende Content-Management-Lösung für die Erstellung von Websites, Apps und Formularen, die gleichzeitig die Verwaltung von Marketing-Inhalte und -Assets vereinfacht …

Beschreibung der zu bearbeitenden Daten

Text, beispielsweise: Die Lösung ABC ist ein klassisches Web Content Management System von ADOBE, das lediglich über unstrukturierte Daten verfügt. Die Beiträge der Nutzer werden in der anwendungseigenen Ablage versorgt …

Architekturskizze

Text, beispielsweise: Adobe Experience Manager (AEM) ist eine Java-Webanwendung und erfordert daher eine serverseitige Java Runtime Environment (JRE). Die nachfolgende Abbildung gibt einen Überblick über eine typische Adobe Experience Manager Konfigurationen. Sie zeigt, wie der Inhalt …

Mit Microsoft PowerPoint anpassbar (rechte Maustaste – Präsentation-Objekt – Open)

Abb. 1 -	3.4	Architekturskizze

Beschreibung der zugrundeliegenden Technik

Die Lösung ABC nutzt ein Standardprodukt ohne Schnittstellen zu Umsystemen (standalone), Backup und Betrieb / Support …

Risikoanalyse mit Restrisiken

Risikobewertung

Text, beispielsweise: Die Risikobewertung wurde durch die Mitwirkende am Projekt YX erstellt. Die Analyse berücksichtigt den Umstand, dass die neue Anwendung …

Die Auflistung der möglichen Bedrohungen und deren Einstufungen befinden sich in der nachfolgend eingebetteten Risikoanalyse.

Abdeckung der Risiken durch übergeordnete Konzepte

Text, beispielsweise: Risiken und Gefahren werden teilweise durch übergeordnete Sicherheitskonzepte oder SLA abgedeckt. Risikoanalysen wurden übergeordnet bereits gemacht. Folgende Liste soll zeigen welche übergeordnete Sicherheitskonzepte auf das Projekt wirken.

Nr.	Konzept / SLA / Grundlage	Version	Freigabedatum	Beschrieb des Schutzes
01	Sicherheitsvorgaben zur Implementierung von Fachanwendungen	1.0	12.02.2018
02	Service Level Agreement (SLA)	2.3	12.02.2019
03	Virenschutz Lösungskonzept
04	Backup-Recovery (Oracle DB)

Tabelle 4:	Abdeckung der Risiken durch übergeordnete Konzepte

Restrisiken

Für die Lösung ABC konnte die folgenden Restrisiken eruiert wurden:

Nr.	Wert	Restrisiko	Weitergehende Massnahmen / Bemerkungen
12	G19 - 2	Die Quellendaten stammen aus diversen Quellen. Da das Publikum sehr heterogen ist, kann auf die Handhabung etwaiger Input Datenträgen kaum Einfluss genommen werden	Benutzer sensibleren durch einen Vermerk in der Anwendung
02
03

Tabelle 5:	Restrisiko

Notfallkonzept

Text, beispielsweise: Der Adobe Experience Manager ist keine betriebsrelevante Individual-Lösung. Es ist ein Standardprodukt ohne Schnittstellen zu Umsystemen (standalone), welches alleine betrieben wird. Daher ist kein Notfallkonzept vorgesehen.

Bearbeitungsreglement

Text, beispielsweise: Das Bearbeitungsreglement regelt die Datenbearbeitungs- und Kontrollverfahren und den Betrieb der Lösung ABC. Es enthält Angaben über das für den Datenschutz und die Datensicherheit verantwortliche Organ, über die Herkunft der Daten und die Zwecke, für welche sie regelmässig bekannt gegeben werden und beschreibt das Verfahren für die Erteilung der Zugriffsberechtigungen. Das Bearbeitungsreglement wird regelmässig aktualisiert und den Benutzern und …

Einhaltung / Überprüfung der Schutzmassnahmen

Text, beispielsweise: Da ein existierendes Standardprodukt eingesetzt wird, Einhaltung / Überprüfung der Schutzmassnahmen durch Systemabnahmeprüfung nicht notwendig …

Test / Abnahme der Informationssicherheitsfunktionen

Text, beispielsweise: Durch den Einsatz eines Standardproduktes entfällt die Systemabnahme …

Liquidation

Text, beispielsweise: Die Lösung ABC ist ein reines Content Management System, das hauptsächlich zwecks Information und Ideenaustausch betrieben wird. Die abgelegten Daten sind weder betriebsrelevant, noch werden diese im Rahmen der betrieblichen Prozesse weiterverwendet … aus diesem Grunde werden diese Daten weder institutionell aufbewahrt, noch archiviert. Bei der Ausserbetriebnahme der Lösung sind folgende Vorgaben zu beachten …

Abkürzungen und Glossar

Abkürzung / Fachwort	Erläuterung
HERMES	Vorgehensmethodik für Projekte und Programme HERMES 2022 ist ein eCH Standard

Tabelle 6:	Abkürzungen und Glossar

Inhaltsverzeichnis

Änderungsverzeichnis	1

Beschreibung	1

1	Verzeichnis der sicherheitsrelevanten Dokumente	2

2	Einstufung aufgrund der Schutzbedarfsanalyse	2

3	Sicherheitsrelevante Systembeschreibung	3

4	Risikoanalyse mit Restrisiken	4

5	Notfallkonzept	5

6	Bearbeitungsreglement	6

7	Einhaltung / Überprüfung der Schutzmassnahmen	6

8	Test / Abnahme der Informationssicherheitsfunktionen	6

9	Liquidation	6

Abkürzungen und Glossar	7

Inhaltsverzeichnis	8

Tabellenverzeichnis	8

Tabellenverzeichnis

Tabelle 1:	Änderungskontrolle	1

Tabelle 2:	sicherheitsrelevante Dokumente	2

Tabelle 3:	Ansprechpartner / Verantwortlichkeiten	3

Tabelle 4:	Abdeckung der Risiken durch übergeordnete Konzepte	5

Tabelle 5:	Restrisiko	5

Tabelle 6:	Abkürzungen und Glossar	7