Gemäß § 9 Bundesdatenschutzgesetz (BDSG) sind öffentliche und nicht-öffentliche Stellen, die selbst oder im Auftrag personenbezogene Daten erheben, verarbeiten oder nutzen, dazu verpflichtet, die technischen und organisatorische Maßnahmen (die sogenannten TOMs) zu treffen die erforderlich sind um die Sicherheits- und Schutzanforderungen des BDSG zu erfüllen.
Aber auch in der Business Continuity und in der ISO 27001 nehmen sie einen großen Stellenwert ein. Was genau sind diese TOMs?

ZUTRITTSKONTROLLE

Hier sind Maßnahmen zu treffen, die Unbefugten den Zutritt – im räumlichen Sinne – zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet werden, zu verwehren. Beispiele hierfür sind: Zäune, Pforten, Videokameras, Alarmanlagen oder Chipkartenleser.

ZUGANGSKONTROLLE

In diesem Bereich sind diejenigen Maßnahmen gemeint, die Unbefugte daran hindern sollen personenbezogene Daten zu verwenden indem man ihnen den Zugang zu den Rechnern bzw. Systemen versagt. Maßnahmen zu diesem Zweck sind unter anderem: biometrische Benutzeridentifikation, Firewalls oder eine Benutzerkennung mit Passwort.

ZUGRIFFSKONTROLLE

Die Zugriffskontrolle soll verhindern, dass Nutzer auf Inhalte zugreifen können, für die sie keine Berechtigung haben und dass personenbezogene Daten bei der Verarbeitung oder Nutzung unbefugt kopiert, verändert oder gelöscht werden können. Typische Beispiele aus der Praxis sind: Passwortbeschränkung auf den Rechnern, Sicherung der Schnittstellen (z. B. USB oder Netzwerk), Berechtigungskonzepte usw.

WEITERGABEKONTROLLE

Diese soll gewährleisten, dass personenbezogene Daten beim Transport, bei elektronischer Übertragung oder bei der Speicherung auf einem Datenträger nicht unbefugt gelesen, verändert, gelöscht oder kopiert werden können. Hierunter fallen z. B. Maßnahmen wie: E-Mail Verschlüsselung und Einsatz von Firewalls bei der elektronischen Übertragung oder verschlossene Transportbehälter beim physischen Transport.

EINGABEKONTROLLE

Diese soll sicherstellen, dass nachträglich überprüft werden kann, ob und von wem personenbezogene Daten verändert, gelöscht oder eingegeben wurden. Dies lässt sich normalerweise am Besten mit Protokollierung oder Benutzeridentifikation bewerkstelligen.

AUFTRAGSKONTROLLE

Es muss sichergestellt werden, dass im Auftrag zu verarbeitende, personenbezogene Daten auch tatsächlich gemäß den Anweisungen des Auftraggebers verarbeitet werden. Maßnahmen hierfür sind für gewöhnlich: ein Auftragsdatenverarbeitungsvertrag nach § 11 BDSG, Vor-Ort-Kontrollen, Stichproben oder ähnliches.

VERFÜGBARKEITSKONTROLLE

Diese soll die personenbezogenen Daten gegen eine zufällige Zerstörung oder Verlust schützen. Typische Maßnahmen hierzu sind: Brandschutz- und Brandmeldeanlagen, Unterbrechungsfreie Stromversorgung, Backupkonzepte oder Überspannungsschutz.

TRENNUNGSGEBOT

Das Trennungsgebot schreibt vor, dass personenbezogene Daten, die zu verschiedenen Zwecken erhoben wurden, auch getrennt verarbeitet werden müssen. Hierzu bedarf es z. B.: getrennten Datenbanken, getrennten Ordnerstrukturen oder einer Trennung des Produktiv- und Testsystems.