Vorlage

Anhang 2

Minimale Sicherheitsvorgaben für den Betrieb von Informatikmitteln und

Datenspeichern, die bei der systematischen Verwendung der Versicherten-

nummern eingesetzt werden

1. Der Zugang zu Informatikmitteln und Datenspeicher muss physisch gesichert

sein. Beim Einsatz mobiler Informatikmittel und Datenspeicher muss mit Hilfe von dem Stand der Technik entsprechenden kryptographischen Verfahren (Datenverschlüsselung) sichergestellt sein, dass die Nutzung bzw. der Zugriff für Unberechtigte nicht möglich ist.

2. Der Zugriff auf Informatikmittel und Datenspeicher muss mit Hilfe von ange-

messenen, dem Stand der Technik und der Risikolage entsprechenden Informatiksicherheitsmassnahmen geschützt sein. Diese Massnahmen müssen mindestens den Einsatz von handelsüblicher und aktuell gehaltener Software zur Entdeckung und Beseitigung von Malware (Antiviren-Software), sowie den Einsatz von (zentralen oder persönlichen) Firewall-Systemen umfassen.

3. Benutzer und Benutzerinnen, die auf Informatikmittel und Datenspeicher

zugreifen, müssen authentifiziert werden. Werden für die Authentifizierung Passwörter eingesetzt, so gelten die folgenden Anforderungen:

a. Länge

• Benutzerpasswort mindestens 8 Stellen

b. Zusammensetzung

• Grossbuchstaben, Kleinbuchstaben, Zahlen, Sonderzeichen

• Mindestens zwei dieser Kategorien müssen enthalten sein.

• Trivial-Passwörter wie Benutzer-ID, Name, Vorname, Geburtsdatum usw. dürfen nicht verwendet werden.

c. Gültigkeit

• Beim Verdacht, dass Unberechtigte ein Passwort kennen, muss dieses umgehend geändert werden.

d. Weitergabe

• Das Benutzerpasswort ist geheim zu halten und darf nicht weitergegeben werden.

4. Die Betriebs- und Anwendungssoftware von Informatikmitteln muss möglichst

zeitnah mit aktuellen Fehlerbehebungsupdates (Patches) ausgerüstet werden.

5. Auf Informatiksystemen sind wichtige Aktivitäten und Ereignisse aufzuzeich-

nen und regelmässig auszuwerten.