Files

T

msolarczekandClaude Opus 4.8 36c2903a43 GAP WP1: Neue VAs 14–19 integriert + Register + Baseline + Eltern-Wiring

ISB-Volltexte der sechs neuen Verfahrensanweisungen eingepflegt (VA-14..VA-19)
und die im GAP-Report identifizierten Inhalts-GAPs geschlossen.

- 6 neue VAs unter verfahren/ (VA-14 Personalsicherheit, VA-15 Interne Audits,
  VA-16 Sichere Beschaffung/Entwicklung, VA-17 Zutritts-/Besuchermanagement,
  VA-18 Datenschutz-Pflege, VA-19 Informationssicherheit in Projekten) mit
  FULFILLS-Headern; mapping.json: verfahren[] + Reverse-Links (anforderungen[].verfahren).
- 4 referenzierte Register als Dokumente (import-managed.ts): REG-PROJECTS,
  REG-SENS-ROLES, REG-AUDIT-PLAN, REG-EXT-SERVICES (Pflichtspalten dokumentiert;
  editierbares Datenmodell = offenes WP3.0).
- Baseline: BL-GOV-01 (Audit-/Prüfzyklus) und BL-PROJ-01 (Projekt-Kriterien).
- Eltern-Richtlinien verdrahtet (IMPL-Ersatztexte aus Report §8): R01 1.2.3 (A-N1,
  löst „bzw. ISMS-Tool" auf), R05 2.1.1 (A-G-B1) + 2.1.2 (N2→VA-14), R03 1.5.1
  (A-F12→VA-15), R11 5.3.1 (A-F13→VA-16), R07 3.1.1 (N3→VA-17), R14 7.1.2 (A-N8→VA-18).

Verifiziert: _verify.py Render 0 / Mapping sauber (nur vorbestehendes IMPL 3.1.3);
Re-Import in Demo → 10 neue Dokumente, Coverage-Gaps geschlossen (1.2.3→VA-19,
2.1.1→VA-14, 1.5.1→VA-15, 5.3.1→VA-16, 3.1.1→VA-17, 7.1.2→VA-18); Browser: R01
rendert klickbare Deep-Links auf VA-19 und REG-PROJECTS. tsc grün.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

2026-07-22 20:53:29 +02:00

5.7 KiB

Raw Blame History

Technische Sicherheits-Baseline

Dokumenteninformation	Wert
Dokumententyp	Vorgabedokument (Baseline)
Geltungsbereich	{{ISMS_SCOPE}}
Organisation	{{ORG_NAME}}
Verantwortlich	{{ROLE_IT_LEAD}}
Freigabe durch	{{ROLE_ISB}}
Version	{{DOC_VERSION}}
Datum	{{DOC_DATE}}
Status	{{DOC_STATUS}}

Zweck

Dieses Dokument legt die konkreten technischen Mindestparameter der Informationssicherheit fest. Es ist die zentrale Pflegestelle für alle messbaren Werte (Passwortlängen, Fristen, Verfahren). Die Richtlinien R01–R14 verweisen für exakte Werte auf die hier vergebenen Baseline-IDs (z. B. BL-IAM-01) und wiederholen die Kernaussage konkret im jeweiligen Umsetzungstext.

Änderungen an Parametern erfolgen ausschließlich hier und werden von {{ROLE_ISB}} freigegeben. Die Werte sind als anpassbare Defaults (Variablen) hinterlegt; sie entsprechen dem Stand der Technik (Orientierung u. a. an BSI IT-Grundschutz und aktuellen NIST-Empfehlungen).

1. Identitäts- und Zugriffsmanagement

ID	Parameter	Vorgabe
BL-IAM-01	Passwortvorgaben	Mindestlänge {{PW_MIN_LENGTH}} Zeichen; {{PW_COMPLEXITY}}; Prüfung gegen bekannte/kompromittierte Passwörter; {{PW_ROTATION}}
BL-IAM-02	Mehr-Faktor-Authentifizierung (MFA)	Verpflichtend für {{MFA_SCOPE}}
BL-IAM-03	Sitzungsverwaltung	Automatische Sperre bei Inaktivität: {{SESSION_TIMEOUT}}
BL-IAM-04	Kontosperrung	{{ACCOUNT_LOCKOUT}}
BL-IAM-05	Rezertifizierung von Berechtigungen	{{RECERT_FREQ}}; privilegierte Rechte zusätzlich anlassbezogen
BL-IAM-06	Privilegierte/technische Konten	Getrennte Verwaltung, Einzelzuordnung, verstärkte Protokollierung; Verwaltung über {{TOOL_IAM}}
BL-IAM-07	Dokumentationsort IAM	Anträge/Freigaben/Sperrungen im {{TOOL_TICKET}}; Kontenverwaltung in {{TOOL_IAM}}

2. Kryptographie und Übertragung

ID	Parameter	Vorgabe
BL-CRY-01	Transportverschlüsselung	Mindestens {{TLS_MIN}}; unsichere Protokolle deaktiviert
BL-CRY-02	Zulässige Algorithmen/Schlüssellängen	{{CRYPTO_ALGO}}
BL-CRY-03	Datenträgerverschlüsselung	Vollverschlüsselung mobiler Geräte und Datenträger (AES-256)
BL-CRY-04	E-Mail-/Dateiaustausch	Verschlüsselung schutzbedürftiger Inhalte; sichere Austauschwege vorgegeben
BL-CRY-05	Schlüsselverwaltung	Definierter Lebenszyklus (Erzeugung, Verteilung, Speicherung, Sperrung, Vernichtung){{#if FLAG_CRYPTO_PKI}}; PKI/Zertifikatsverwaltung etabliert{{/if}}

3. Betriebssicherheit

ID	Parameter	Vorgabe
BL-OPS-01	Patch-SLA	Kritisch: {{PATCH_SLA_CRIT}}; hoch: {{PATCH_SLA_HIGH}}; standard: {{PATCH_SLA_STD}}
BL-OPS-02	Schwachstellen-Scanning	{{VULN_SCAN_FREQ}}; Nachverfolgung im {{TOOL_TICKET}}
BL-OPS-03	Malware-Schutz	{{TECH_MALWARE}} auf allen Endpunkten/Servern; Signatur-/Engine-Update {{MALWARE_UPDATE}}
BL-OPS-04	Protokollierung & Aufbewahrung	Zentrale Protokollierung ({{TECH_SIEM}}); Aufbewahrung {{LOG_RETENTION}}; manipulationsgeschützt
BL-OPS-05	Datensicherung	Schema {{BACKUP_SCHEME}} über {{TECH_BACKUP}}; Aufbewahrung {{BACKUP_RETENTION}}
BL-OPS-06	Wiederherstellungstests	{{BACKUP_TEST_FREQ}}; Ergebnis dokumentiert
BL-OPS-07	Systemhärtung	Härtungsvorgaben (z. B. CIS-Benchmarks) für Standardsysteme
BL-OPS-08	Technische Prüfung / Penetrationstest	{{PENTEST_FREQ}} bzw. risikoorientiert
BL-OPS-09	Change-Management	Antrag/Bewertung/Test/Genehmigung/Doku im {{TOOL_TICKET}}

4. Netzwerksicherheit

ID	Parameter	Vorgabe
BL-NET-01	Segmentierung	Trennung nach Schutzbedarf; {{#if FLAG_OT_USED}}Produktions-/OT-Netze getrennt und besonders abgesichert; {{/if}}Gäste-/Fremdnetze isoliert
BL-NET-02	Perimeter & Fernzugriff	Firewall mit Default-Deny; Fernzugriff nur über {{TECH_VPN}} mit MFA (BL-IAM-02)

5. Endpoint und mobile Nutzung

ID	Parameter	Vorgabe
BL-EP-01	Geräteverwaltung	Verwaltung über {{TECH_MDM}}; nur freigegebene Geräte
BL-EP-02	Geräteverschlüsselung/Fernlöschung	Vollverschlüsselung (BL-CRY-03); Sperre/Löschung bei Verlust über {{TECH_MDM}}
BL-EP-03	Wechseldatenträger	Nur verschlüsselt und freigegeben; Nutzung kontrolliert

6. Physische Sicherheit

ID	Parameter	Vorgabe
BL-PHY-01	Sicherheitszonen	Definierte Zonen; Zutritt bedarfsorientiert, dokumentiert, bei Wegfall entzogen
BL-PHY-02	Zutrittsprotokollierung	Protokollierung zu schutzbedürftigen Bereichen; Besucher registriert und begleitet

7. Personal und Lieferanten

ID	Parameter	Vorgabe
BL-HR-01	Awareness/Schulung	Bei Eintritt und danach mindestens {{REVIEW_CYCLE}}; Nachweis im {{TOOL_NAME}}
BL-SUP-01	Lieferanten-Risikoklassen	Einstufung nach Schutzbedarf und Zugriff; Prüfung der Einhaltung (Nachweise/TISAX)
BL-DEL-01	Sichere Löschung	Schutzbedarfsgerechtes Löschen/Vernichten (z. B. nach anerkannten Standards); Löschnachweis

8. Governance und Projekte

ID	Parameter	Vorgabe
BL-GOV-01	Audit-/Prüfzyklus	Interne Prüfung {{REVIEW_CYCLE}}; unabhängige Prüfung/Assessment mindestens alle 3 Jahre bzw. nach grundlegenden Änderungen
BL-PROJ-01	Projekt-Klassifizierungskriterien	Dokumentierter Kriterienkatalog zur IS-Klassifizierung von Projekten (Auslöser/Schwellen für ISB-Einbindung)

Änderungshistorie

Version	Datum	Autor	Änderung
{{DOC_VERSION}}	{{DOC_DATE}}	{{ROLE_IT_LEAD}}	Erstellung

5.7 KiB Raw Blame History Unescape Escape