Elemente des Internen Kontrollsystems (IKS) für die IT-Sicherheit

Mit der Festlegung der folgenden Sub-Elemente des Internen Kontrollsystems (IKS) wird die grundlegende Basis für die Anforderungen an die Verwaltung der Sicherheit von Informationssystemen geschaffen.

Verwaltung der Sicherheit von Informationssystemen

Die folgenden Kontrollen sind essenziell für die systematische Risikominimierung:

• Kontrollen zur Prävention und Vermeidung von Gefahren, Risiken und Bedrohungen im Systembereich.
• Zutrittskontrollsysteme für Datenbanken, Programme und Informationen.
• Festlegung von Privilegien-Ebenen für den Zugang, die Verwendung von Schlüsselwörtern und Kontrollmöglichkeiten der Nutzer.
• Überwachung des Zugriffs eines Nutzers auf Informationen und verwendete Programme.
• Existenz, Verbreitung und Durchsetzung von Systemvorschriften, Handbüchern und Anleitungen.

Physische Sicherheitskontrollen der Systemumgebung

• Inventarisierung von Hardware, Mobiliar und Material.
• Reservierung von EDV-Anlagen.
• Protokollierung von Wartungen und Korrekturen.
• Zugangskontrollen für Personal zum Systembereich.
• Kontrolle von Gebäudekonstruktion und -wartung (Facility Control).
• Versicherungen und Garantien für Personal, Geräte und Systeme.
• Verträge für Updates, Beratung und Hardware-Wartung.

Logische Sicherheitskontrollen für Systeme

• Systemzugriffskontrolle auf Programme und Informationen.
• Einstellung und Verwaltung von Zugriffsebenen.
• Kontrolle der Prüfziffern und Fakten (Datenintegrität).
• Verwendung von Zugangsschlüsselwörtern (Passwörtern).
• Kontrollen zur Überwachung logischer Schritte und Systemroutinen.
• Sicherheitsprüfungen der Datenbanken.
• Schutzprogramme zur Verhinderung von Missbrauch und der unbefugten Veränderung von Daten.
• Regelmäßige Datensicherung (Backup).
• Pläne und Programme zur Risikoprävention und Informationswiederherstellung.
• Beschränkung des Zugangs zu Datenbanken.
• Routinen zur Überwachung und Evaluierung der Maßnahmen in Verbindung mit Datenbanken.

Sicherheitskontrollen im IT-Betrieb der EDV-Systeme

• Kontrollen für Betriebsverfahren.
• Steuerung der Informationsverarbeitung.
• Steuerung der Ergebnisausgabe.
• Spezielle Produkte für den Betrieb von Computern.
• Steuerelemente für die Speicherung (Storage Controls).
• Steuerelemente für die Systemwartung.
• Allgemeine Kontrollen für die Computersicherheit.

Administrative und Personelle Kontrollen

• Administrative Personalkontrollen.
• Versicherung und Sicherheit für Systempersonal.
• Schulungs- und Trainingsprogramme.
• Sicherheitsprüfungen der Datenfernübertragung.