Beschreibung
Leistungsbeschreibung:
Ziel ist die Neuerstellung, Aktualisierung / Fortschreibung von Informationssicherheitskonzepten sowie Dokumentation zum Datenschutz im Bereich der Gesundheitsversorgung, unter Berücksichtigung der Umstellung auf den BSI modernisierten Grundschutz.
Die Leistungen erfolgen auf folgenden Gebieten:
1. Dienstleistungen im Bereich Dokumentation, Organisation und Prozessgestaltung mit den Schwerpunkten Informationssicherheit und Datenschutz unter Berücksichtigung der gesetzlichen und organisatorischen Rahmenvorgaben des Kunden.
2. Systematische Prozessverbesserung informationssicherheitsrelevanter und begleitender Serviceprozesse.
3. Bewertung von projektspezifischen Bedrohungslagen und Analysen des Schutzbedarfs auf individuellen Projektanforderungen gem. dem BSI modernisierten Grundschutz Vorgaben.
4. Fachliche Unterstützung bei der Fortschreibung bestehender und Ersterstellung neuer Informationssicherheitskonzepte, -richtlinien, und -prozesse.
5. Fachliche Unterstützung bei der sicherheitstechnischen Fortschreibung von Architekturkonzepten
6. Fachliche Unterstützung bei der Erstellung- und Fortschreibung datenschutzrelevanter Dokumentation
Leistungspaket A: Erstellung Architekturkonzepte
1. Analyse der bestehenden Verfahrens- / Solution-architektur, Solution-beschreibungen und Requirements-dokumentationen
2. Erstellung /Aktualisierung des Architekturkonzepts basierend auf den Architekturstandards des Kunden
Leistungspaket B: Erstellung Anwendungs- und Solutionspezifische Informationssicherheits-konzepte
1. Erstellung / Aktualisierung des Informationssicherheitskonzepts auf Basis der Verfahrensdokumentation bzw. Solution-beschreibung und dem Architekturkonzept
2. Umstellung auf den modernisierten Grundschutz gem. den BSI-Grundschutzvorgaben
Leistungspaket C: Erstellung von Modellierungen in einem Tool
Dokumentation des Informationssicherheitskonzepts in einem Tool (z.B. SAVe oder Verinice)
Leistungspaket D: Erstellung von Datenschutzdokumentationen
1. Erstellung von Entwürfen von Verträgen zur Auftragsverarbeitung (AVV)
2. Erstellung / Aktualisierung der projektbezogenen Datenschutzkonzepte auf Basis rechtlicher- und bereichsspezifischer Vorgaben und notwendiger weiterer Anlagen
3. Erstellung / Aktualisierung / Bewertung des Datenfeldkatalogs und der Schutzbedarfsanalyse auf Basis des Architekturkonzepts und des Informationssicherheitskonzepts Solution-beschreibung
4. Erstellung / Aktualisierung der Datenschutzfolgenabschätzung auf Basis der Schwellwertanalyse einhergehend mit rechtlichen- und bereichsspezifischen Vorgaben
Leistungspaket E: Erstellung der ergänzenden Dokumente zum Informationssicherheitskonzept
1. Erstellung / Aktualisierung von Konzepten gem. Templates des Kunden wie dem Rollen- und Berechtigungskonzept, Auditkonzept, Härtungskonzept, Protokollierung- und Notfallkonzept, Patchmanagement, Kryptokonzept auf Basis des Architekturkonzepts
Zu den Umfängen eines jeden Leistungspaketes gehören folgende Leistungen:
2. Klärung offener Punkte und Beschaffung weiterführender Informationen bei Ansprechpartnern des Projekts
3. Qualitätssicherung der erstellten Inhalte gemeinsam mit den Ansprechpartnern des Auftraggebers
4. Bei Bedarf Bereitstellung des Zwischenergebnisses an den Auftraggeber zur Akkreditierung
Qualifikationsanforderungen für Senior Consultant (Security)
1. Sprachkenntnisse: Verhandlungssichere Deutsch- sowie gute Englischkenntnisse
2. Zertifikat: Fachkenntnisse zu Service Management Prozessen gem. ITIL
3. Zertifikat: Wissen im Sicherheitsmanagement gem. modernisiertem IT-Grundschutz des BSI und int. Standard ISO/IEC 27001 (Zertifizierung ISO27001 – Auditor oder Information Security Officer ISO27001 IT-Grundschutz-Berater oder gleichwertiger Nachweis)
4. Kenntnisse in Datenschutz nach DSGVO
(Certified Information Privacy Manager (oder gleichwertig) / Schulungen zum Datenschutz oder Teilnahmebescheinigungen oder Zertifikate oder vergleichbar)
5. Wissen in der Bedrohungsmodellierung, Risikobewertung und Sicherheitskonzeption mittels SAVe und zusätzlich Verinice (Schulungen zu den Tools oder Erfahrungsnachweise in Projekten)
6. Zertifikat: Kenntnisse zu IT- und Informationssicherheitsarchitekturen und deren Dokumentation gem. NAFv4 (NATO Architecture Framwork) oder TOGAF 9 (The OpenGroup Framework) (Zertifizierung in NAF oder TOGAF und Projekterfahrung in Kundenumfeld)
7. Wissen zu fachspezifischen Anforderungen im Gesundheitswesen Bspw. KHZG, KHZF-Berechtigung gem. ß 21 Absatz 2 Satz 1 KHSFV (Berechtigungsnachweis) oder Ausbildung im Bereich “IT-Sicherheit im Krankenhaus auf Basis des B3S-Sicherheitsstandards (KRITIS)) (Schulungen zu den bereichsspezifischen Anforderungen oder Erfahrungsnachweise in Projekten)
Erfahrungsanforderungen für Senior Consultant (Security):
1. Wissen in der Bedrohungsmodellierung, Risikobewertung und Sicherheitskonzeption
2. Erfahrung als Berater im Informationssicherheitsconsulting und Datenschutz
3. Erfahrung in der Erstellung von Sicherheitskonzepten mit dem Tool SAVeÆ6 (mil.) und SAVeÆ5 (mil.)
4. Erfahrung als Projektmanager
5. Mehrjährige Berufserfahrung im Behörden- und Verwaltungs- sowie komplexen IT-Enterprise-Umgebungen
6. Erfahrung im BSI IT-Grundschutz (wenigstens: A-960/1 und A-2122/4)
7. Erfahrung in IT- und Informationssicherheitsarchitekturen