# Richtlinien



# Policy – Informationssicherheit

# Informationssicherheits-Policy

**Version:** 1.0  | **Owner:** IT‑Leitung  | **Geltungsbereich:** Unternehmensweit

## Ziel
Schutz von Vertraulichkeit, Integrität, Verfügbarkeit (VIA) auf Basis eines risikoorientierten Ansatzes.

## Grundsätze
- Minimalprinzip (Least Privilege), MFA standard, Netzwerksegmentierung
- Härtung & Patchen, Protokollierung & Auswertung, Backup/BCM
- Sensibilisierung & Schulung, Lieferantensteuerung

## Mindestanforderungen
- Passwort‑ & MFA‑Vorgaben, Endgeräte‑Verschlüsselung, Admin‑Protokollierung
- Patchfenster & Schwachstellenbehebung
- Notfallmanagement inkl. Übungen

## Verweise
- TOMs (Art. 32), Notfallhandbuch (BSI 200‑4), GoBD‑Verfahrensdoku, Patch/Vuln‑Prozess

# Policy – Datenklassifizierung & Schutzbedarf

# Policy – Datenklassifizierung & Schutzbedarf

**Klassen:** Öffentlich · Intern · Vertraulich · Streng vertraulich  
**Kennzeichnung:** Dokument-/System‑Tags, Ordnerstruktur, Watermark (falls möglich)

**Beispiele:**  
- *Vertraulich:* Mitarbeiter‑, Kunden‑, Finanzdaten  
- *Intern:* Prozessdokumente, Betriebsanweisungen

**Schutzbedarf:** Auswirkung auf Vertraulichkeit, Integrität, Verfügbarkeit → Maßnahmen ableiten.

# Policy – Passwort & MFA

# Policy – Passwort & MFA

- **MFA** verpflichtend für Admins, Remote/VPN, Cloud  
- **Passwörter:** ausreichend lang, Manager empfohlen, keine Wiederverwendung  
- **Servicekonten:** Kennworttresor, Rotation, keine interaktive Anmeldung  
- **Reset‑Prozess:** Identitätsprüfung, Protokollierung

# Policy – Zugriff & Berechtigungen (IAM)

# Policy – Zugriff & Berechtigungen (IAM)

- Rollenbasiert (RBAC), **Need‑to‑know**  
- Joiner‑Mover‑Leaver (JML) Prozess verbindlich  
- Adminrechte nur temporär (Just‑in‑Time), Vier‑Augen‑Prinzip  
- Regelmäßige Rezertifizierung (z. B. halbjährlich), Nachweise dokumentieren

# Policy – Logging & Aufbewahrung

# Policy – Logging & Aufbewahrung

**Pflichtquellen:** AD, Firewalls, VPN, kritische Server/Anwendungen  
**Inhalte:** An-/Abmeldungen, Admin‑Aktionen, Policy‑Änderungen, Fehler/Eskalationen  
**Aufbewahrung:** gem. Schutzbedarf/DSGVO/GoBD  
**Auswertung:** Dashboards/Alerts (LibreNMS, Wazuh/OpenSearch/Graylog), Monatsreport als Nachweis