Für einen individuellen Ausdruck passen Sie bitte die Einstellungen in der Druckvorschau Ihres Browsers an. Regelwerk, Anlagensicherheit Information/Kommunikation

Zur aktuellen Fassung

Gem. RdErl. d. MI, d. StK u. d. übr. Min. v. 23.10.2013
- CIO-02850/0110-0004 -

^{17 17a} Bezug:

a)  Gem. RdErl. v. 9.11.2016 (Nds. MBl. S. 1193) - VORIS 20500 -

b) Gem. RdErl. v. 1.11.2017 (Nds. MBl. S. 1463)

1. Gegenstand und Geltungsbereich ¹⁷

Diese Informationssicherheitsrichtlinie über die Abwehr von Schadsoftware (ISRL-Schadsoftware) regelt auf Grundlage der Leitlinie zur Gewährleistung der Informationssicherheit ( ISLL) - Bezugserlass - in Form von Mindestanforderungen die Grundsätze der Abwehr von Schadsoftware und der Bewältigung bei einem tatsächlichen Schadsoftwarebefall von IT-Systemen der niedersächsischen Landesverwaltung.

Diese Informationssicherheitsrichtlinie gilt im gesamten Geltungsbereich der Leitlinie für die Gewährleistung der Informationssicherheit (Nummer 1.1 bis 1.3 des Bezugserlasses).

2. Organisatorische und technische Maßnahmen der Behördenleitung

Die Behördenleitung ist im Rahmen ihrer Zuständigkeit für die Gewährleistung der Informationssicherheit verantwortlich. Zur Umsetzung dieser Informationssicherheitsrichtlinie sind durch die Behördenleitung die notwendigen organisatorischen und technischen Maßnahmen zu veranlassen. Die Sicherheitsanforderungen können auch dadurch erfüllt werden, dass die Behördenleitung einen Dritten (z.B. IT-Dienstleister, Landesbetrieb) mit der Umsetzung von Maßnahmen beauftragt. Entsprechende Vereinbarungen oder Verträge mit dem Dritten sind aktenkundig zu machen.

Soweit sichergestellt ist, dass die durch diese Informationssicherheitsrichtlinie festgelegten Mindestanforderungen vollständig umgesetzt werden, ist die weitere Ausgestaltung der Maßnahmen in Art und Umfang freigestellt.

3. Umsetzung

3.1 Die Umsetzung der Sicherheitsanforderungen (Nummer 5) soll vorrangig durch technische Maßnahmen erfolgen, die durch organisatorische Maßnahmen ergänzt werden.

3.2 Die Verantwortungsbereiche der einzelnen Anwenderinnen und Anwender sind eindeutig vom Verantwortungsbereich der Systemadministration abzugrenzen.

3.3 Zur organisatorischen Umsetzung der Sicherheitsanforderungen wird vorgeschlagen, dass die Anwenderinnen und Anwender über das Verhalten bei einem Verdacht auf Schadsoftwarebefall anhand der in der Anlage aufgeführten Inhalte informiert werden.

3.4 Es sind ggf. ergänzende organisatorische Maßnahmen zu ergreifen, insbesondere wenn sich Sicherheitsanforderungen unmittelbar an die Anwenderinnen und Anwender richten. Bei der Gestaltung organisatorischer Maßnahmen, insbesondere bei der Erstellung von Dienstanweisungen, ist zu beachten, dass diese auch für Anwenderinnen und Anwender ohne vertiefte IT-Kenntnisse verständlich und tatsächlich umsetzbar sind. Die spezifischen Sicherheitsmaßnahmen der einzelnen Sicherheitsdomänen müssen in einem angemessenen Verhältnis zur praktischen Handhabbarkeit durch die Anwenderinnen und Anwender stehen.

4. Innerbehördliche Zuständigkeit und Organisation

Die Behördenleitung legt die innerbehördlichen Zuständigkeiten (zuständigen Stellen) und ggf. die erforderlichen Prozesse für die Umsetzung der technischen und organisatorischen Maßnahmen aufgrund dieser Informationssicherheitsrichtlinie in eigener Zuständigkeit fest.

5. Sicherheitsanforderungen

5.1 Schutz vor Schadsoftware

5.1.1 Die Behördenleitung hat dafür Sorge zu tragen, dass grundsätzlich auf jedem Endgerät (z.B. Arbeitsplatzrechner, tablet-Computer, Notebook) sowie auf jedem Serversystem eine Anti-Schadsoftware eingesetzt oder eine effektive Alternativmaßnahme zur Abwehr von Schadsoftware getroffen wird.

5.1.2 Die Behördenleitung entscheidet anhand einer Risikoanalyse, ob bestimmte Endgeräte (z.B. Smartphones) ohne Anti-Schadsoftware eingesetzt werden dürfen. Das Ergebnis der Risikoanalyse ist aktenkundig zu machen.

5.1.3 Die Behördenleitung gewährleistet, dass die eingesetzte Anti-Schadsoftware regelmäßig automatisiert aktualisiert wird. Die Aktualisierungsintervalle sind so klein wie nötig zu halten.

5.1.4 Der Status des Schutzes der IT-Systeme soll auf einem zentralen System erfasst werden.

5.1.5 Die Anti-Schadsoftware hat Dateien beim Zugriff zu untersuchen, unabhängig davon, auf welchem Datenträger oder Speichermedium die Dateien abgelegt sind. IT-Systeme sollen regelmäßig ohne Anlass vollständig auf Schadsoftware untersucht werden. Nach der Auslieferung vorinstallierter ITSysteme oder der Durchführung von Wartungsarbeiten sollen die betroffenen IT-Systeme auf Schadsoftware untersucht werden.

5.2 Sensibilisierung und Information ^17a

5.2.1 Die Behördenleitung stellt sicher, dass alle Anwenderinnen und Anwender sowie die Systemadministration für von Schadsoftware ausgehende Gefahren und hinsichtlich der einzuhaltenden Sicherheitsmaßnahmen in angemessener Form und im notwendigen Umfang sensibilisiert und über aktuelle Veränderungen (z.B. Sicherheitshinweise) informiert werden.

5.2.2 Die Anwenderinnen und Anwender sind im erforderlichen Umfang und in geeigneter Weise zu informieren, wie sie sich bei einem Verdacht auf Schadsoftwarebefall verhalten sollen. Die Informationssicherheitsrichtlinie über den strukturierten Umgang mit Sicherheitsvorfällen ( ISRL-ISi-Vorfälle) - Bezugserlass zu b - regelt den strukturierten Umgang mit Sicherheitsvorfällen, sobald sich der Verdacht auf einen Schadsoftwarebefall bestätigt.

5.2.3 Die Systemadministration ist zu befähigen, auf Schadsoftwarebefall sachgerecht zu reagieren (z.B. Feststellung einer tatsächlichen Infektion, Ermittlung der Infektionsquelle und des Ausmaßes der Infektion, Beweissicherung, Ermittlung eines Datenverlustes oder -abflusses, Optimierung der Präventionsmaßnahmen).

5.3 Vorgehen bei Schadsoftwarebefall

5.3.1 Die Beseitigung von Schadsoftware soll grundsätzlich automatisiert erfolgen. Für den Fall, dass eine automatisierte Beseitigung fehlschlägt, sind die zur Beseitigung erforderlichen Zuständigkeiten und Abläufe von der Behördenleitung festzulegen.

5.3.2 ¹⁷ Die Behördenleitung bestimmt, in welchen Fällen und auf welche Weise die zuständigen Stellen bei einem Schadsoftwarebefall zu informieren sind. Sie gewährleistet, dass das N-CERT in den gemäß Nummer 6.6.2 sechster Spiegelstrich des Bezugserlasses vorgesehenen Fällen informiert wird.

6. Schlussbestimmung ¹⁷

Dieser Gem. RdErl. tritt am 01.11.2013 in Kraft und mit Ablauf des 30.06.2020 außer Kraft.

.

1. Ausgangslage

Besteht der Verdacht, dass ein Endgerät oder eine Fachanwendung von Schadsoftware befallen sein könnte, so beachten Sie bitte die nachfolgenden Handlungsempfehlungen.

2. Meldestelle

Zuständige Meldestelle für einen Verdacht auf Schadsoftwarebefall ist [ ... ].

3. Anhaltspunkte für einen Schadsoftwarebefall

Folgende Anhaltspunkte können auf einen Befall von IT- Systemen mit Schadsoftware hindeuten, wobei diese Anhaltspunkte nicht zwingend auf einen Schadsoftwarebefall zurückzuführen sein müssen und deshalb einer genauen Untersuchung bedürfen, die [die zuständige Stelle für die Betriebsverantwortung] für Sie durchführen wird:

• häufige Abstürze von Programmen,
• unerklärliches Systemverhalten,
• unerklärliche Fehlermeldungen,
• Zugriffsberechtigung für unbekannte Dienste oder Funktionen,
• unerklärliche Netzverbindungen,
• unerklärliche Veränderungen an Datei-Inhalten,
• unerklärliche Veränderungen an Dokumenteigenschaften,
• unerklärliche Veränderungen an Datei-Größen,
• ständige Verringerung des freien Speicherplatzes ohne tatsächliche Speicherung,
• Versand von E-Mails ohne Aktion der Anwenderin oder des Anwenders,
• nicht auffindbare Dateien,
• kein Zugriff auf einzelne Laufwerke,
• Probleme beim Starten des Rechners,
• unerklärliche Veränderung von Icons oder
• Probleme beim Abspeichern von Dateien oder Daten von Fachanwendungen.

4. Arbeitsschritte ^17a

4.1 Ruhe bewahren!

4.2 Auf keinen Fall dürfen Sie mit Ihrem Endgerät, auf dem Sie die Schadsoftware vermuten, weiterarbeiten.

4.3 Trennen Sie bei einem Verdacht auf einen Schadsoftwarebefall Ihr Endgerät sofort vom Netzwerk. Wenn dies nicht möglich ist, trennen Sie es von der Stromversorgung.

4.4 Besteht Ihrerseits der Verdacht, dass die Schadsoftware ein IT-System befallen hat, auf dem eine von Ihnen genutzte Fachanwendung bereitgestellt wird, so dürfen Sie auf keinen Fall mit dieser Fachanwendung weiterarbeiten! Melden Sie sich bitte sofort von der Fachanwendung ab.

4.5 Melden Sie sofort Ihren Verdacht auf einen Schadsoftwarebefall an [die zuständige Meldestelle]. Benennen Sie dabei das betroffene Endgerät (z.B. Arbeitsplatzrechner, Smartphone, tablet-Computer, Notebook) eindeutig. Geben Sie möglichst auch den genauen Rechnernamen [siehe Aufkleber auf dem Gerät] an. Geben Sie ferner die festgestellten Symptome der o. a. Liste zu Nummer 3 an.

4.6 Warten Sie auf weitere Anweisungen der [zuständigen Meldestelle].

4.7 Ist die Quelle der Schadsoftware auf einen Datenträger zurückzuführen, der sich in Ihrem Besitz befindet, dürfen Sie diesen auf keinen Fall weiterbenutzen oder an andere Anwenderinnen und Anwender weitergeben. Händigen Sie diesen Datenträger bitte sofort der [zuständigen Meldestelle] aus.

4.8 Wenn noch andere Anwenderinnen oder Anwender auf Ihr Endgerät zugreifen, warnen Sie diese bitte ausdrücklich, dass ein Verdacht auf einen Schadsoftwarebefall besteht.

4.9 Setzen Sie Ihre Bearbeitung mit dem mutmaßlich befallenen Endgerät oder der Fachanwendung erst fort, wenn Ihnen die [zuständige Meldestelle] bestätigt hat, dass die Bereinigung des IT-Systems abgeschlossen ist.

4.10 Ändern Sie unverzüglich Ihr Anmelde-Kennwort.

ENDE