IT-Grundschutz/Strukturanalyse/Geschäftsprozesse

Geschäftsprozesse

Geschäftsprozesse und Informationen

Ein Sicherheitskonzept soll die wesentlichen Informationen einer Institution schützen. Welche dazu zählen, wird in der Regel bei einer Betrachtung der Geschäftsprozesse deutlich:

• Welche Informationen sind erforderlich, damit diese reibungslos funktionieren?
• Welche haben einen besonderen Geheimhaltungsbedarf und dürfen daher nur Befugten zugänglich sein?
• Welche Informationen unterliegen den Vorgaben des Datenschutzes,
• Welche anderen rechtlichen Verpflichtungen (beispielsweise um die Nachweisbarkeit von geschäftlichen Vorgängen zu sichern)?

Oft kann auf eine bereits vorhandene Aufstellung der wesentlichen Geschäftsprozesse oder Fachaufgaben zurückgegriffen werden (eine „Prozesslandkarte“) oder die Prozesse können anhand von Aufgabenbeschreibungen oder eines Organigramms der Institution identifiziert werden.

Ergebnisdarstellung

Tabellen bieten eine übersichtliche Möglichkeit, die Ergebnisse der Erhebung der Prozesse und Informationen darzustellen.

Angaben je Geschäftsprozess

• Eindeutige Kennung (Nummer oder Kürzel)
• Name des Prozesses
• Kurze Beschreibung (Ziele, Abläufe, verarbeitete Informationen)
• Prozess Verantwortlicher
• Wichtige Anwendungen, die der Prozess benötigt

Beispiel

Die folgende Tabelle zeigt einen Teil der für die RECPLAST erfassten Geschäftsprozesse

• Diese werden durch das Präfix „GP“ als Geschäftsprozess gekennzeichnet und fortlaufend durchnummeriert.
• Die für einen Prozess benötigten Anwendungen werden in einer separaten Tabelle zugeordnet.

Geschäftsprozesse

Kennung	Name	Art	Beschreibung	Informationen	Verantwortliche
GP001	Produktion	Kerngeschäft	Die Produktion der Kunststoffartikel umfasst alle Phasen von der Materialbereitstellung bis hin zur Einlagerung des produzierten Materials. Hierzu gehören innerhalb der Produktion die internen Transportwege, die Produktion und Fertigung der verschiedenen Komponenten und das Verpacken der Teile.	Es werden alle Informationen über Aufträge, Lagerbestände und Stücklisten verarbeitet.	Leiter Produktion/Alle Mitarbeiter
GP002	Angebotswesen	unterstützender Prozess	In der Angebotsabwicklung werden die Kundenanfragen für Produkte verarbeitet. Im Regelfall werden Kundenanfragen formlos per E-Mail oder Fax geschickt. Die Angebote werden elektronisch erfasst und ein schriftliches Angebot per Post an den Kunden versendet.	Im Angebotswesen werden Kundendaten, Lagerbestände, Anfragen und Angebote bearbeitet.	Leiter Angebotswesen/Vertrieb
GP003	Auftragsabwicklung	Kerngeschäft	Kunden schicken die Bestellungen im Regelfall per Fax oder E-Mail. Alle Belege müssen ausgedruckt und elektronisch erfasst werden. Eine Auftragsbestätigung erhält der Kunde nur, wenn er dies ausdrücklich wünscht oder der Produktionsprozess von der üblichen Produktionszeit abweicht.	Die Auftragsabwicklung verwendet Kundendaten, Lagerbestände, Aufträge und Bestellungen.	Leiter Auftragsabwicklung/Vertrieb
GP004	Einkauf	unterstützender Prozess	In der Einkaufsabteilung werden alle erforderlichen Artikel bestellt, die nicht für den Produktionsprozess erforderlich sind. In dieser Abteilung werden externe Projekte verhandelt, -Verträge gestaltet und Verbrauchsmaterial im organisatorischen Umfeld (Papier, Toner ) beschafft	Die verwendeten Informationen sind Lagerbestände, Bedarfsmeldungen und Informationen über Lieferanten.	Leiter Einkauf/Einkauf
GP005	Disposition	Kerngeschäft	In der Disposition werden alle für die Produktion benötigten Materialien (Kunststoffe, Schrauben Tüten ) beschafft. Hierzu liegen normalerweise Rahmenverträge vor.	Geplant wird in diesem Umfeld anhand von Jahresplanmengen und verschiedenen Bestellwerten.	Leiter Disposition/Disposition, Produktion

Geschäftsprozesse und Informationen erheben

Abbildung: "Schritte bei der Strukturanalyse, der hier behandelte Schritt ist hervorgehoben"

Sicherheitskonzept soll wesentliche Informationen

Welche dazu zählen, wird in der Regel bei einer Betrachtung der Geschäftsprozesse deutlich

• Welche Informationen sind erforderlich, damit diese reibungslos funktionieren?
• Welche haben einen besonderen Geheimhaltungsbedarf und dürfen daher nur Befugten zugänglich sein?
• Welche Informationen unterliegen den Vorgaben des Datenschutzes, welche anderen rechtlichen Verpflichtungen (beispielsweise um die Nachweisbarkeit von geschäftlichen Vorgängen zu sichern)?

Oft kann auf eine bereits vorhandene Aufstellung der wesentlichen Geschäftsprozesse oder Fachaufgaben zurückgegriffen werden

• „Prozesslandkarte“
• Prozesse können anhand von Aufgabenbeschreibungen oder eines Organigramms der Institution identifiziert werden

Ergebnisdarstellung

Tabellen bieten eine übersichtliche Möglichkeit, die Ergebnisse der Erhebung der Prozesse und Informationen darzustellen.

• Für jeden Geschäftsprozess sollten Sie die folgenden Angaben vermerken:* eine eindeutige Kennung (Nummer oder Kürzel),
• einen Namen für den Prozess,
• eine kurze Beschreibung des Ziels, der Abläufe und der verarbeiteten Informationen,
• die für den Prozess Verantwortlichen,
• wichtige Anwendungen, die für den Prozess benötigt werden.

Beispiel

Die folgende Tabelle zeigt einen Teil der für die RECPLAST erfassten Geschäftsprozesse.

• Diese werden durch das Präfix „GP“ als Geschäftsprozess gekennzeichnet und fortlaufend durchnummeriert.
• Die für einen Prozess benötigten Anwendungen werden in einer separaten Tabelle zugeordnet.

Geschäftsprozesse

Kennung: Name (Art) und Beschreibung des Prozesses sowie der verwendeten Informationen	Verantwortlicher/Mitarbeiter
GP001: Produktion (Kerngeschäft):Die Produktion der Kunststoffartikel umfasst alle Phasen von der Materialbereitstellung bis hin zur Einlagerung des produzierten Materials. Hierzu gehören innerhalb der Produktion die internen Transportwege, die Produktion und Fertigung der verschiedenen Komponenten und das Verpacken der Teile.Es werden alle Informationen über Aufträge, Lagerbestände und Stücklisten verarbeitet.	Leiter Produktion/Alle Mitarbeiter
GP002: Angebotswesen (unterstützender Prozess):In der Angebotsabwicklung werden die Kundenanfragen für Produkte verarbeitet. Im Regelfall werden Kundenanfragen formlos per E-Mail oder Fax geschickt. Die Angebote werden elektronisch erfasst und ein schriftliches Angebot per Post an den Kunden versendet.Im Angebotswesen werden Kundendaten, Lagerbestände, Anfragen und Angebote bearbeitet.	Leiter Angebotswesen/Vertrieb
GP003: Auftragsabwicklung (Kerngeschäft):Kunden schicken die Bestellungen im Regelfall per Fax oder E-Mail. Alle Belege müssen ausgedruckt und elektronisch erfasst werden. Eine Auftragsbestätigung erhält der Kunde nur, wenn er dies ausdrücklich wünscht oder der Produktionsprozess von der üblichen Produktionszeit abweicht.Die Auftragsabwicklung verwendet Kundendaten, Lagerbestände, Aufträge und Bestellungen.	Leiter Auftragsabwicklung/Vertrieb
GP004: Einkauf (unterstützender Prozess):In der Einkaufsabteilung werden alle erforderlichen Artikel bestellt, die nicht für den Produktionsprozess erforderlich sind. In dieser Abteilung werden externe Projekte verhandelt, -Verträge gestaltet und Verbrauchsmaterial im organisatorischen Umfeld (Papier, Toner ) beschafft.Die verwendeten Informationen sind Lagerbestände, Bedarfsmeldungen und Informationen über Lieferanten.	Leiter Einkauf/Einkauf
GP005: Disposition (Kerngeschäft):In der Disposition werden alle für die Produktion benötigten Materialien (Kunststoffe, Schrauben, Tüten ) beschafft. Hierzu liegen normalerweise Rahmenverträge vor. Geplant wird in diesem Umfeld anhand von Jahresplanmengen und verschiedenen Bestellwerten.	Leiter Disposition/Disposition, Produktion