Richtlinie zur Datenklassifizierung

Daten müssen sicher, korrekt und zuverlässig verwaltet werden und für autorisierte Nutzung jederzeit verfügbar sein. Datensicherheitsmaßnahmen werden entsprechend dem Datenwert, der Sensibilität und dem Risiko umgesetzt. 

Klassifizierung

Um Sicherheit auf der angemessenen Ebene umzusetzen, Richtlinien für die Einhaltung gesetzlicher/regulatorischer Anforderungen festzulegen und widersprüchliche Standards und Kontrollen für Daten zu reduzieren oder zu beseitigen, werden Daten in eine der folgenden Kategorien eingestuft:

1. Beschränkt - Daten, deren Offenlegung gegenüber unbefugten Personen einen Verstoß gegen Bundes- oder Landesgesetze oder Unternehmensverträge darstellen würde.
2. Öffentlich - Daten, auf die der Allgemeinheit gemäß den Unternehmensverträgen Zugriff gewährt werden kann.

Daten in beiden Kategorien erfordern unterschiedliche Sicherheitsmaßnahmen, die dem Ausmaß angemessen sind, in dem der Verlust oder die Beschädigung der Daten das Geschäft beeinträchtigen, zu finanziellen Verlusten führen oder gegen Gesetze, Richtlinien oder Unternehmensverträge verstoßen würde.

Sicherheitsmaßnahmen für Daten werden vom Chief Operating Officer (COO) in Zusammenarbeit mit den nachstehend definierten Betriebsmitarbeitern festgelegt. Die folgenden Rollen und Verantwortlichkeiten werden für die Umsetzung der Datenrichtlinie festgelegt:

• Chief Operating Officer (COO) ist für das Informationsmanagement sowie für Fragen des Datenzugriffs und der Umsetzung von Richtlinien verantwortlich.
• Betriebsmitarbeiter sind die Datenverwalter. Der Datenverwalter ist für die Bereitstellung einer sicheren Infrastruktur zur Unterstützung der Daten verantwortlich, einschließlich, aber nicht beschränkt auf die Bereitstellung physischer Sicherheit, von Sicherungs- und Wiederherstellungsprozessen, die Vergabe von Zugriffsberechtigungen an Systembenutzer, die vom COO oder dessen Beauftragten autorisiert wurden, sowie die Implementierung und Verwaltung von Kontrollen über die Informationen.
• Datennutzer sind Personen, die Daten im Rahmen ihrer zugewiesenen Aufgaben oder zur Erfüllung zugewiesener Rollen oder Funktionen innerhalb der Gemeinschaft des Unternehmens und der Kunden benötigen und verwenden. Personen, denen Zugriff auf sensible Daten gewährt wird, bekleiden eine Position besonderen Vertrauens und sind als solche für den Schutz der Sicherheit und Integrität dieser Daten verantwortlich. 

Durchsetzung

Die zur Datensicherheit implementierten Durchsetzungsmaßnahmen richten sich nach der Datenklassifizierungsstufe. Die Maßnahmen umfassen eine angemessene Kombination der folgenden Punkte:

• Verschlüsselungsanforderungen
• Datenschutz und Zugriffskontrolle
• Dokumentierte Sicherungs- und Wiederherstellungsverfahren
• Änderungskontrolle und Prozessüberprüfung
• Anforderungen an die Datenaufbewahrung
• Datenentsorgung
• Prüfkontrollen
• Speicherorte
• Benutzerbewusstsein