IT-Sicherheit

Grundsätze für die Informationssicherheit an der Heidelberger Akademie der Wissenschaften

Beschlossen vom Vorstand: 4. März 2024

Präambel

Die Heidelberger Akademie der Wissenschaften (HAdW) ist die Wissenschaftsakademie des Landes Baden-Württemberg; sie ist Gelehrtengesellschaft und außeruniversitäre Forschungseinrichtung. Die Sicherheit von Informationen ist in Forschungseinrichtungen von entscheidender Bedeutung, um Forschungsergebnisse zu schützen, die Integrität von Daten zu gewährleisten und den Ruf der Einrichtung zu sichern. Die Akademie strebt daher danach, gezielt geeignete Maßnahmen auszuwählen, um den hohen Anforderungen an die Funktionsfähigkeit und Sicherheit der Daten gerecht zu werden. Dadurch soll das Risiko von Dienstausfällen, die Kompromittierung von Daten und der unautorisierte Abfluss von Informationen reduziert werden, um alle Forschungs- und Verwaltungsaktivitäten aufrechtzuerhalten.

IT-Sicherheit ist ein kontinuierlicher Prozess, der laufend an veränderte Bedrohungsszenarien angepasst werden muss. Im Gegensatz dazu können die Grundsätze (Leitlinie) für die IT-Sicherheit in kompakter und relativ statischer Form definiert werden. Die Leitlinie bildet die Grundlage und Rahmenbedingungen für zukünftige IT-Sicherheitsrichtlinien, die als Ergänzung bzw. Präzisierung dieser Leitlinie formuliert werden. Die Leitlinie und die darauf aufbauenden Richtlinien bilden zusammen das Regelwerk (Konzept) für IT-Sicherheit an Heidelberger Akademie der Wissenschaften.

§ 1 Geltungsbereich

Diese Leitlinie ist für alle Organisationseinheiten der Heidelberger Akademie der Wissenschaften verbindlich. Darüber hinaus gilt sie für alle externen Nutzer und Nutzerinnen der IT-Infrastruktur und der IT-Dienste der Akademie. Ebenso gilt sie für Auftragsverarbeiter, Dienstleister und alle, die Prozesse oder Dienste der Akademie betreiben oder nutzen. Dabei ist es unabhängig davon, ob es sich um dienstliche oder private Geräte ("BYOD" - Bring Your Own Device) handelt.

§ 2 Allgemeine Grundsätze und Ziele der Informationssicherheit an der HAdW

1. Ein angemessenes Sicherheitsniveau – der aktuellen Technik entsprechend – soll an der Heidelberger Akademie der Wissenschaften angestrebt und umgesetzt werden. Dabei werden insbesondere die Grundschutzstandards des BSI (Bundesamt für Sicherheit in der Informationstechnik) sowie die internationalen Normen DIN ISO/IEC 27001 ff. als Grundlage verwendet. Insbesondere für Bereiche, in denen ein höherer Schutzbedarf festgestellt wird (z.B. wegen der Verarbeitung von sensiblen Daten), müssen ggf. ergänzende Sicherheitsmaßnahmen eingeführt und dokumentiert werden.
2. Die Informationssicherheit ist kein Selbstzweck und muss neben den Sicherheitsstandards auch Informationsoffenheit, Kosten und Nutzerakzeptanz berücksichtigen.
3. Die Akademie und alle ihre Organisationseinheiten schützen ihre verarbeiteten Informationen durch die Sicherstellung der „Grundwerte der Informationssicherheit“. Diese sind:
   • Verfügbarkeit: Die Gewährleistung, dass Daten, Informationen, IT-Systeme und Anwendungen für Berechtigte im vorgesehenen Umfang und in angemessener Zeit nutzbar sind.
   • Vertraulichkeit: Die Gewährleistung, dass Daten und Informationen ausschließlich Befugten zugänglich sind.
   • Integrität: Die Gewährleistung, dass Unverfälschtheit und Vollständigkeit von Daten, Informationen, IT-Systemen und Anwendungen gegeben sind.
4. Informationssicherheit wird als strategische Aufgabe begriffen. Maßnahmen zu ihrer Gewährleistung werden durch den Vorstand der Akademie unterstützt.
5. Die Informationssicherheitsleitlinie wird regelmäßig, mindestens jedoch einmal pro Jahr auf ihre Aktualität, Wirksamkeit und Angemessenheit hin überprüft und bei Bedarf weiterentwickelt.
6. Informationssicherheit kann nur erreicht werden, wenn organisationsweit gültige Sicherheitsstandards definiert werden und diese ggf. gestuft auf Ebene von Gremien, Forschungsstellen und Verwaltung erfolgreich umgesetzt werden.
7. Ein angemessenes Sicherheitsniveau kann nur dann erreicht werden, wenn das IT-Fachpersonal die nötige Kompetenz besitzt. Detaillierte Risikoanalysen zur Erkennung und Abwehr von Sicherheitslücken erfordern qualifiziertes Personal mit hohem Expertenwissen und detaillierten IT-Kenntnissen. Entsprechende Schulungen und Zertifizierungen sollen hierfür regelmäßig wahrgenommen werden. Weiterhin werden IT-nutzende Beschäftigte regelmäßig informiert und sensibilisiert, sodass in der Breite ein Grundverständnis für die Belange der Informationssicherheit gewährleistet werden kann; hinzu kommen aufgabenspezifische Schulungen.
8. Informationssicherheit umfasst nicht nur die Verhinderung von inneren und äußeren Angriffen auf die Akademie, sondern auch die Verhinderung von Angriffen, die von der Akademie auf externe Institutionen ausgehen.
9. In Kooperationen mit Dritten wird die Umsetzung des Informationssicherheitsmanagements in erforderlichem Maß durch Vereinbarungen geregelt.

§ 3 Verantwortlichkeiten

1. Die Gesamtverantwortung für die Informationssicherheit trägt der Vorstand. Er stellt die notwendigen finanziellen und personellen Ressourcen zur Etablierung und kontinuierlichen Verbesserung des Informationssicherheits-Managements zu Verfügung.
2. Der Vorstand beschließt die Informationssicherheitsleitlinie, die die Hauptziele und die Verantwortungsstrukturen der Akademie festlegt.
3. Die Gestaltung und Koordinierung der Informationssicherheitsprozesse an der Akademie Heidelberg liegen in der Verantwortung des/der Informationssicherheitsbeauftragten (ISB). In dieser Funktion berichtet der/die ISB regelmäßig an den Vorstand. Er/sie steuert zusammen mit dem/der stellv. ISB die Steuerung des Informationssicherheitsmanagements. Allgemein werden die entsprechenden Sicherheitsmaßnahmen im Rahmen von festgelegten Sicherheitsrichtlinien (s. § 4) definiert.
4. Die Umsetzung der Vorgaben aus dem Informationssicherheitsmanagement obliegt den Informationssicherheitsansprechpartnern (ISAs). Sie sind die für den operativen Betrieb der Informations- und Kommunikationstechnik zuständigen Personen. Sie haben administrativen Zugriff auf und kümmern sich um den sicheren Betrieb der Systeme.
5. Die Leitung der jeweiligen Organisationseinheit (Leitung Forschungsstellen, Leitung Referate, Vorsitzende eines Gremiums) trägt die Verantwortung für die Organisation der Informationssicherheit im jeweiligen Bereich.
6. Alle Personen innerhalb der Organisationseinheiten sind für die Einhaltung eines angemessenen Sicherheitsniveaus im Bereich der eigenen IT-Nutzung, auch unter Berücksichtigung der geltenden Informationssicherheitsrichtlinien, verantwortlich und unterstützen die Erfüllung der in § 2 genannten Grundsätze und Ziele.

§ 4 Bereitstellung von Richtlinien

Diese Leitlinie zur Informationssicherheit wird durch weitere Richtlinien ergänzt und präzisiert. Der Vorstand beschließt diese Richtlinien. Die Bereitstellung von Informationssicherheitsrichtlinien setzt voraus, dass eine regelmäßige und grundlegende Überprüfung des Sicherheitsstatus und des Schutzbedarfs bezüglich der IT der Akademie erfolgt. Dazu sollen regelmäßig eine Bestandsaufnahme und Strukturanalyse der IT-Prozesse, IT-Geräte, Software, Anwendungen und Daten erfolgen. Daraus resultiert eine Zuordnung der IT-gestützten Prozesse und Informationen in eine der folgenden Schutzbedarfskategorien.

• Schutzbedarf Niedrig bis Mittel
  Der Schaden wirkt sich in geringem bis mittlerem Maße auf die Handlungsfähigkeit der Akademie aus und ist auf einzelne Personengruppen beschränkt.
• Schutzbedarf Hoch 
  Der Schaden wirkt sich in beträchtlichem Maße aus und kann mehrere Organisationseinheiten der Akademie umfassen.
• Schutzbedarf Sehr hoch 
  Der Schaden wirkt sich in höchstem Maße aus und kritische Prozesse werden so beeinträchtigt, dass die Akademie teilweise oder als ganze nicht mehr handlungsfähig ist.

Im Falle von IT-Bestandteilen und -Bereichen, die der obenstehenden Einteilung zufolge in die Bereiche "Schutzbedarf Hoch" oder "Schutzbedarf Sehr hoch" fallen, muss zudem eine Risikoanalyse vorgenommen werden. Die aus dieser Analyse resultierenden Ergebnisse werden in Zusammenarbeit mit den jeweiligen IT-Nutzer und Nutzerinnen und den jeweiligen Leitungsebenen der betroffenen Einrichtungen und Organisationseinheiten abgestimmt.

Auf Basis der gewonnenen Erkenntnisse sollen Sicherheitsrichtlinien abgeleitet und definiert werden. Diese sollen die Konkretisierung der Maßnahmen beinhalten, die zur Erfüllung der in den Leitlinien definierten Ziele beitragen. Bei der Definition der Sicherheitsrichtlinien wird zwischen proaktiven (vorsorglichen) und reaktiven (nach Eintreten eines Vorfalls) Richtlinien unterschieden.

§ 5 Sicherheitsvorfälle

1. Informationssicherheitsvorfälle werden durch den/die ISA dokumentiert und regelmäßig an den/die stellv. ISB kommuniziert.
2. Der/die stellv. ISB leitet in Zusammenarbeit mit dem Referat Wissenschaft und Digitale Infrastruktur geeignete Maßnahmen zur Abwehr der Gefährdungen ein, koordiniert diese, prüft sie auf ihre Wirksamkeit, informiert den/die ISB und erforderlichenfalls die zuständigen Stellen und dokumentiert den Vorfall. Der/die ISB informiert den Vorstand unverzüglich über größere Sicherheitsvorfälle.
3. Das Vorgehen bei IT-Notfällen wird in Notfallmanagement-Plänen, die das Zusammenwirken mit den zuständigen Behörden (u.a. URZ Heidelberg, MWK, CSBW, BSI, Polizei) abbilden, konkretisiert.

§ 6 Inkrafttreten

Die Leitlinie wird vom Vorstand der Heidelberger Akademie der Wissenschaften verabschiedet. Sie tritt nach Bekanntmachung im Intranet der Akademie in Kraft.