[Seite 1]
Vereinbarung zur Informationssicherheit
zwischen
Zweckverband Wasserversorgung Fränkischer Wirtschaftsraum
90338 Nürnberg
(nachfolgend Auftraggeber genannt)
und
__________________________(Firma)
__________________________(Straße)
_________________________(PLZ/Ort)
(nachfolgend Auftragnehmer genannt)
Seite 1 von 5
[Seite 2]
Inhalt
1 Einleitung ....................................................................................................................... 2
2 Grundlegendes ............................................................................................................... 2
3 Zutritt und Zufahrt ........................................................................................................... 3
4 Besucherausweise und Schlüssel .................................................................................. 3
5 Verlust eines Endgerätes oder Tokens ........................................................................... 3
6 Benachrichtigung über sicherheitsrelevante Vorfälle ...................................................... 3
7 Vorgaben für Dienstleister und externe Mitarbeiter ......................................................... 4
7.1 Verantwortlichkeit externer Mitarbeiter .................................................................... 4 7.2 Arbeitsumgebung .................................................................................................... 4 7.3 Umgang mit Dokumenten und Information .............................................................. 4 7.4 Umgang mit Netzwerken des WFW ......................................................................... 4 7.5 Umgang mit Inventar ............................................................................................... 5 7.6 Umgang mit mobilen Datenträgern, Mobilgeräten und anderer Peripherie .............. 5
Der Auftraggeber betreibt ein Informationssicherheitsmanagementsystem (ISMS) mit dem Ziel die Vertraulichkeit, Verfügbarkeit und Integrität der verarbeiteten Daten bzw. der relevanten Systeme sicherzustellen.
Auch Lieferanten leisten mit ihren Dienstleistungen und Produkten einen wichtigen Beitrag zur Informationssicherheit, weshalb mit dieser Vereinbarung entsprechende Regelungen definiert werden.
1 Einleitung
Dienstleister und externe Mitarbeiter erfüllen wichtige Aufgaben für den Auftraggeber und besitzen Zutrittsrechte für dessen Räumlichkeiten. Weiterhin haben sie Kontakt oder Zugriff auf wichtige, in einigen Fällen sogar kritische Assets. Daher müssen sie sich an Regeln halten und Sicherheitsmaßnahmen beachten, die im Folgenden beschrieben sind.
2 Grundlegendes
Sämtliche Dienstleistungen etc. bedürfen der schriftlichen Vereinbarung bzw. Beauftragung.
Der Auftragnehmer muss die Geheimhaltungsvereinbarung zur Kenntnis nehmen und deren Einhaltung schriftlich zusichern.
Der Auftragnehmer muss die Datenschutzvereinbarung zur Kenntnis nehmen und deren Einhaltung schriftlich zusichern.
Seite 2 von 5
[Seite 3]
3 Zutritt und Zufahrt
Es sind die vor Ort ausgewiesenen Zutritts- und Zufahrtsmöglichkeiten zu nutzen. Dienstleister haben sich an- und abzumelden und dürfen nur jene Räumlichkeiten betreten, zu denen sie befugt sind.
Dienstleister und externe Mitarbeiter dürfen keine Personen mit auf das Betriebsgelände bringen oder in die Räumlichkeiten hereinlassen.
4 Besucherausweise und Schlüssel
Zugeteilte Dienstausweise sind gut sichtbar auf Brusthöhe zu tragen. Schlüssel und Dienst- ausweise dürfen keinem Dritten überlassen werden. Gleiches gilt für kryptografische Schlüs- sel und Passwörter. Der Verlust des Dienstausweises oder von Schlüsseln ist unverzüglich der Sicherheitsleitstelle unter der Rufnummer 0911/802-77777 (StWN- und WFW- Mitarbeiter) oder der Zentralen Service Leitstelle VAG 0911-283-2000 (VAG-Mitarbeiter) und in der Folge dem direkten Ansprechpartner zu melden.
Des Weiteren ist das Merkblatt zum Umgang mit Dienstausweisen zur Kenntnis zu nehmen und dessen Einhaltung schriftlich zu bestätigen.
5 Verlust eines Endgerätes oder Tokens
Der Verlust eines vom Auftraggeber dem Auftragnehmer zur Ausführung der Dienstleistung überlassenen Endgerätes oder Tokens ist umgehend beim Service Desk zu melden:
Telefon: 0911/802-1200 Mo. – Fr. 07:00 bis 17:00 Uhr.
Außerhalb der Verfügbarkeitszeiten des Service Desks muss der Betroffene die Sperrung von SIM-Karten beim Netzbetreiber selbstständig vornehmen:
T-Mobile (D1) 0800-335-6566 (0 – 24 Uhr)
Vodafone (D2) 0800-172 3333 (0 – 24 Uhr)
Der Vorfall ist anschließend so zeitnah wie möglich dem Service Desk zu melden.
6 Benachrichtigung über sicherheitsrelevante Vorfälle
Besondere sicherheitsrelevante Ereignisse müssen gemeldet werden. Weiterhin müssen Beschädigungen oder Fehlfunktionen der Zutrittsanlagen umgehend die Sicherheitsleitstelle (Tel. 0911/802-77777) bzw. der Security-Arbeitsplatz der VAG-Leitstelle (Tel. 0911/283- 2034) benachrichtigt werden. Bei Störungen im Betriebsauflauf, oder bei Situationen, die dazu führen können, Schäden an Immobilien und sonstigen Vorkommnissen ist unverzüglich das zentrale Störungsmanagement des WFW bzw. VAG unter der internen Rufnummer 1000 zu informieren.
Seite 3 von 5
[Seite 4]
7 Vorgaben für Dienstleister und externe Mitarbeiter
7.1 Verantwortlichkeit externer Mitarbeiter Externe Mitarbeiter sollen über ein sensibles Grundverständnis für Informationssicherheit verfügen und stets ihren Umgang mit Endgeräten, Daten, Diensten und Dokumenten kritisch betrachten.
7.2 Arbeitsumgebung Bei Verlassen des Arbeitsplatzes müssen alle Endgeräte gesperrt werden und der Benutzer hat sich von nicht mehr benötigten Netzwerkdiensten etc. abzumelden.
Sollte der Dienstleister einen festen Arbeitsplatz bzw. einen Lagerort für Material und Geräte zugewiesen bekommen haben, muss dieser in einem ordentlichen, aufgeräumten Zustand hinterlassen werden. Sofern möglich, sollten Arbeitsorte aufgeräumt werden.
Beeinträchtigungen (Lärm, Schmutz, Unfallgefahr durch Kabel, …) von Mitarbeitern sollten möglichst verhindert werden oder zumindest minimiert werden.
7.3 Umgang mit Dokumenten und Information Dienstleister dürfen keine Fotos, Video- oder Audioaufzeichnungen erstellen. Ausnahmen davon bedürfen der schriftlichen Genehmigung des Assetverantwortlichen bzw. Infor- mationseigentümers.
Dokumente mit sensiblen Inhalt dürfen nur ausgedruckt oder kopiert werden, wenn der Erhalt des Ausdrucks durch den befugten Empfänger, d. h. ohne Einsichtnahme Unbefugter, sichergestellt ist.
Es ist grundsätzlich untersagt, fremde Dokumente zu lesen, an sich zu nehmen oder von ihrem Ablageort zu entfernen. Dies schließt auch Klebezettel und andere Notizen sowie Müll ein.
7.4 Umgang mit Netzwerken des WFW Es dürfen nur von der N-ERGIE IT GmbH bereitgestellten Geräte an die durch die N-ERGIE IT GmbH betreuten Bürokommunikationsnetze angeschlossen werden. Ausnahmen erfordern eine Genehmigung der NIT. Weiterhin dürfen nur die von der von der N-ERGIE IT GmbH bereitgestellten Netzwerkdienste verwendet werden. Das Netz der NIT darf nicht mit externen Netzen verbunden werden.
Drucker müssen über das Netzwerk angesprochen werden und dürfen nicht direkt an ein Endgerät angeschlossen werden.
Internetzugang und drahtlose Netze
Der Zugang zu externen Netzen, z. B. dem Internet, darf nur über den von der N-ERGIE IT bereitgestellten Weg erfolgen. Das Einrichten eigener Internetzugänge über einen Internet- Provider ist untersagt.
Die eigenständige Einrichtung von drahtlosen Access Points ist untersagt. Für die Einrichtung eines solchen Zugangs muss ein entsprechender Service bei der N-ERGIE IT bestellt werden.
Seite 4 von 5
[Seite 5]
NIT-Telekommunikationsnetz
An das NIT-TK-Netz dürfen nur von der N-ERGIE IT standardisierte und in Betrieb genommene Endgeräte angeschlossen werden. Ausnahmen sind genehmigungspflichtig. Die Nutzung von Leistungsmerkmalen wie Lauthören, Freisprechen, Konferenz einleiten und
beenden müssen dem Gesprächspartner vor der Aktivierung mitgeteilt werden.
7.5 Umgang mit Inventar Geräte mit festem Standort dürfen nicht bewegt/entfernt werden, bspw. PCs, Telefone, Dru- cker, Schränke. Geräte, die üblicherweise bewegt werden, können von ihrem Standort ent- fernt werden, müssen aber anschließend wieder zurückgestellt werden, bspw. Stühle, Tische, Mülleimer.
Soweit im Dienstleistungsauftrag nichts anderes geregelt ist, dürfen Kabel und Steckverbindungen dürfen nicht gelöst werden, bspw. Verkabelungen von PCs, Druckern, Telefonen, Verlängerungskabel.
Private bzw. nicht von NIT bereitgestellte USB-Sticks, Smartphones, Handies, MP3-Player und andere Wechseldatenträger dürfen nicht an IT der NIT angeschlossen werden, dies schließt auch das Aufladen dieser Geräte ein.
Eingeschaltete Geräte dürfen nicht ausgeschaltet werden. Abgeschaltete Geräte dürfen nicht eingeschaltet werden.
7.6 Umgang mit mobilen Datenträgern, Mobilgeräten und anderer Peripherie Mobile Geräte müssen immer unter Aufsicht gehalten werden. Sollte dies nicht möglich sein, müssen sie verschlossen aufbewahrt werden bzw. gegen Diebstahl gesichert sein.
Jegliche IT des Dienstleisters darf nur mit Genehmigung der NIT an IT der NIT angeschlos- sen werden.
, ……………………….. Nürnberg, ………………………………… Ort, den Ort, den
…………………………………… ………………………………… (Auftragnehmer) (Auftraggeber)
Seite 5 von 5