Richtlinien für die Verwendung der Informatikausrüstung

• SI: IT-Dienst der HES-SO//FR
• SIU: IT-Dienst der Einheit (lokaler Dienst einer Schule, eines Studiengangs) – Liste der SIU
• RSI: Verantwortlicher für IT-Sicherheit
• DPO: Datenschutzbeauftragter
• COD: Corporate Owned Device (firmeneigenes Gerät)
• BYOD: Bring Your Own Device (eigenes Gerät mitbringen)
• LPD: Bundesgesetz über den Datenschutz
• LPrD: Kantonales Datenschutzgesetz
• RGPD: Allgemeine Datenschutzverordnung

Die Politik der Fachhochschule Westschweiz//Freiburg (HES-SO//FR) hinsichtlich der Nutzung von IT-Ausrüstung war schon immer sehr offen. Diese Politik hat es den Nutzerinnen und Nutzern ermöglicht, ihre Aufgaben erfolgreich zu erfüllen. Bei der Fortführung dieser Strategie muss jedoch berücksichtigt werden, dass die Zahl der Nutzerinnen und Nutzer sowie der IT-Ausrüstungen stetig zunimmt und diese immer vielfältiger werden. Es erscheint daher notwendig, die Normen, die einen optimalen Betrieb der IT-Ressourcen ermöglichen und die Sicherheit der Daten aller gewährleisten, in Form von Richtlinien zu veröffentlichen.

Die vorliegende Richtlinie legt die Grundsätze fest, die bei der Nutzung aller digitalen Geräte, die mit den Netzwerken der HES-SO//FR verbunden werden können (von den Schulen bereitgestellte Geräte oder BYOD), zu beachten sind.

Diese Richtlinien richten sich an alle Personen, die berechtigt sind, sich mit unseren Informationssystemen und Daten zu verbinden. Sie gelten auch für temporäre Nutzer (Praktikanten, Besucher, Teilnehmer an Kursen oder Seminaren, die in den Gebäuden der HES-SO//FR organisiert werden).

Zusätzlich zu dieser Richtlinie müssen die Nutzerinnen und Nutzer (siehe Abschnitt „Geltungsbereich“ oben) die Vorschriften und Regeln einhalten und anwenden, die in den vom SI erstellten technischen Dokumenten beschrieben sind. (Beispiel: Supportbedingungen Studierende der HES-SO Freiburg, Support-Regeln für Mitarbeiter/innen der HES-SO Freiburg)
Alle diese Dokumente sind auf der Website des SI (https://sinfo.hefr.ch) zu finden.
Der SI informiert die Nutzerinnen und Nutzer regelmäßig über Änderungen von Richtlinien oder Vorschriften. Es liegt jedoch in der Verantwortung der Nutzerinnen und Nutzer, die geltenden Richtlinien und Vorschriften regelmäßig zu konsultieren und sich im Zweifelsfall beim SI zu erkundigen.

Nutzungsbedingungen

Die Geräte, die den Nutzern zur Verfügung gestellt werden, sind für den professionellen oder akademischen Gebrauch bestimmt. Die HES-SO//FR übernimmt keine Haftung bei nicht regelkonformer Nutzung oder Missbrauch ihrer IT-Infrastruktur und behält sich das Recht vor, allfällige geeignete Massnahmen zu ergreifen.
Eine eingeschränkte persönliche Nutzung wird toleriert, sofern sie die folgenden Bedingungen erfüllt:

• Die physische und logische Konfiguration des Geräts wird dadurch nicht geändert (siehe Abschnitt Installation und Konfiguration von COD-Geräten und Installation und Konfiguration von BYOD-Geräten oben)
• sie verursacht keine direkten Kosten für die HES‐SO//FR;
• Es greift nicht in die Arbeit anderer Benutzer ein;
• sie schadet weder den Interessen noch dem Image der HES-SO//FR;
• sie belastet die Ausrüstung der HES‐SO//FR nicht erheblich und benachteiligt auch nicht die Nutzerinnen und Nutzer, die an die Netze der HES‐SO//FR angeschlossen sind.

Dokumente privater Natur müssen eindeutig als solche gekennzeichnet werden, z. B. indem sie in einer "privaten" Akte abgelegt werden.
Die Teilnahme an «Online-Spielen», das Hören von «Online-Radios» oder das Ansehen von «Online-Filmen» sind ausserhalb des Lehrbetriebs oder der Projekte der HES-SO//FR strengstens untersagt.

Rechtliche Rahmenbedingungen der Nutzung

Die Nutzer sind verpflichtet, die Bestimmungen zum Datenschutz und zur IT-Sicherheit einzuhalten, die für die Nutzung, den Besitz, die Anzeige oder die Verbreitung von Computerdaten gelten.
Die Nutzerinnen und Nutzer dürfen keine Computerdokumente besitzen, anzeigen oder verbreiten, die gegen das Schweizerische Strafgesetzbuch verstossen. Darüber hinaus stellen sie sicher, dass Texte, die für den professionellen Gebrauch bestimmt sind, nicht gegen Bestimmungen über geistiges Eigentum, Datenschutz oder andere Gesetze zum Schutz der Interessen Dritter verstoßen.
Jeder, der einen Verstoss oder eine Nichteinhaltung dieser Richtlinien feststellt, ist verpflichtet, dies der IT-Abteilung der HES-SO//FR zu melden, die die erforderlichen Massnahmen ergreifen wird.

Kontrolle der Nutzung

Um die Einhaltung der Nutzungsregeln (alle Punkte im Kapitel Regeln für die Verwendung von Geräten) zu überprüfen, wurden automatisierte Überwachungs-, Filter- und Protokollierungsmittel eingerichtet (Firewall, IPS, URL-Filterung (Internetadressen)...).
Diese Mittel ermöglichen es, die meisten Sicherheitsbedrohungen, die unerlaubte Nutzung und das "verdächtige" Verhalten zu verhindern, wie z. B.:

• Schädigung des Rufs und/oder der Privatsphäre von Einzelpersonen und/oder der Institution;
• Computer-Hacking und/oder Spionage;
• Offenlegung vertraulicher Daten;
• Unrechtmäßiger Zugriff und/oder unrechtmäßige Übertragung von Informationen;
• etc...

Diese Kontrollsysteme ermöglichen es, Daten zu sammeln und Personen (automatische Korrespondenz zwischen einem identifizierten Benutzer und dem Datenverkehr im Zusammenhang mit seiner Netzwerkkennung) und/oder seine Aktivitäten zu identifizieren. Die betroffenen Geschäftsführer sind aufgrund ihres Arbeitsvertrags zur "Geheimhaltung und Vertraulichkeit der Daten" verpflichtet.

Verleih von Ausrüstung

Der Benutzer, der eine Ausleihe von Geräten erhalten möchte, muss ein Formular ausfüllen. Folgende Bedingungen müssen vor Erhalt des Materials vereinbart werden:

• Der Nutzer verpflichtet sich, dieses Gerät innerhalb der mit dem in der Leihinformation angegebenen IT-Techniker vereinbarten Zeit in gutem Zustand zurückzugeben und im Falle von Beschädigung, Verlust oder Diebstahl die Kosten für die Reparatur oder Entschädigung zu übernehmen.
• Der Nutzer ist sich bewusst, dass diese Vermietung streng persönlich und daher nicht übertragbar ist.
• Im Falle der Nichteinhaltung der Fristen für die Rückgabe des Geräts reicht die Institution eine Beschwerde ein und die Daten werden den Behörden nach 2 Erinnerungen (nach Ablauf der Frist für das Rückgabedatum) zur Verfügung gestellt.
• Der Benutzer ist dafür verantwortlich, seine persönlichen Daten von dem Gerät zu löschen, bevor er es zurückgibt
• Der Nutzer ist allein verantwortlich für seine Daten. Er nimmt zur Kenntnis, dass bei Rückgabe des Geräts alle seine Daten gelöscht werden, ohne dass eine Wiederherstellung möglich ist.

Die HES‐SO//FR spricht sich für die Nutzung des Internets aus, das ein leistungsfähiges und wertvolles Instrument für die Suche und Beschaffung von Informationen ist. Der Internetzugang ist individuell. Es wird allen Benutzern zur Verfügung gestellt.
Der Internetzugang wird als solches nicht als Recht angesehen. Sie kann daher jederzeit abgelehnt oder storniert werden. Die HES‐SO//FR ist berechtigt, alle erforderlichen Massnahmen zu ergreifen, um den Zugang zu Websites zu sperren, deren Inhalte als ungeeignet erachtet werden.

Allgemeine Grundsätze

Die Internetnutzung ist nicht anonym. Wann immer sich die Nutzer in elektronischer Kommunikation befinden (E-Mail, Konversationsraum, soziales Netzwerk usw.), kann die HES-SO//FR als Kommunikationsquelle identifiziert werden. Jede unkontrollierte Nutzung des Internets birgt somit Risiken für die HES‐SO//FR, sowohl für ihre Reputation als auch aus rechtlicher Sicht. 
Der Zugriff auf das Internet ist dem Nutzer nur zu beruflichen oder akademischen Zwecken und im Rahmen der ihm übertragenen Aufgaben oder Aufgaben gestattet.

Missbrauch

Der Benutzer kann für alle Schäden, die die Nutzung des Netzwerks für den Drittanbieter des Zugangs verursachen kann, haftbar gemacht oder verklagt werden. Dies gilt insbesondere, wenn der Verdacht besteht, dass die Dienste missbräuchlich zur Durchführung oder Unterstützung strafbarer Handlungen verwendet werden, einschließlich unerlaubter Glücksspiele, Verbreitung oder Zugänglichmachung von rechtswidrigen oder sittenwidrigen Darstellungen, wie z.B. Gewaltdarstellungen, sog. Hardpornografie, Aufstachelung zu Straftaten oder Gewalt, Verletzungen der Glaubens- und Religionsfreiheit oder Akte der Rassendiskriminierung.

Herunterladen von Informationen

Das Herunterladen von Daten und Dateien aus dem Internet ist nur zu beruflichen oder akademischen Zwecken und in Übereinstimmung mit dem schweizerischen Recht gestattet.

Teilnahme an Gesprächsräumen (Chatroom, Forum)

Es ist den Nutzerinnen und Nutzern nicht gestattet, interaktive Verbreitungsmöglichkeiten aktiv zu nutzen (mit Ausnahme der in den folgenden Absätzen erwähnten internen Konversationsräume für die Nutzerinnen und Nutzer der HES-SO//FR), d.h. Nachrichten oder Notizen zu senden, die die HES-SO//FR identifizieren. Eine Ausnahme von dieser Regel bildet die Teilnahme an Konversationsräumen, die für die Bedürfnisse der HES-SO//FR notwendig sind.

Offizielle elektronische Nachrichten (E-Mail)

Die offizielle elektronische Nachrichtenübermittlung (E-Mail), Outlook, ist der wichtigste Kommunikations- und Benachrichtigungskanal innerhalb der HES-SO//FR, der vor allem für berufliche Zwecke im Zusammenhang mit der Tätigkeit der Institution bestimmt ist. Die Verwendung von E-Mails für persönliche Zwecke wird toleriert, sofern sie nicht in die berufliche Tätigkeit eingreift, die Systeme nicht überlastet und alle Regeln der HES-SO//FR und die geltenden Gesetze einhält. Um die Vertraulichkeit und die ordnungsgemäße Datenverwaltung zu gewährleisten, sollten private Nachrichten in einem speziellen "privaten" Ordner abgelegt werden. Der Inhaber einer persönlichen E-Mail-Adresse ist verpflichtet, sein Postfach regelmäßig zu überprüfen.

Die Verwendung von Verteilerlisten (z. B. eine Liste einer Klasse, eines Dienstes oder einer Schule) muss die folgenden Bedingungen erfüllen:

• Für das Personal ist die Nutzung ausschließlich professionell;
• Für die Studierenden bedeutet die Nutzung eine systematische Aufforderung an eine verantwortliche Person (Professorin oder Professor oder Lehrveranstaltungsleiterin);
• Jeder Missbrauch kann zu Maßnahmen führen.

Eine elektronische Nachricht unterliegt den gleichen Anforderungen an die Einhaltung von Gesetz, Ethik und Anstand wie jedes andere schriftliche Dokument. Untersagt sind insbesondere Nachrichten verleumderischer, diffamierender, beleidigender, rassistischer, sexistischer, gewaltverherrlichender oder pornografischer Art.

E-Mail-Sicherheit

Um die Sicherheit der E-Mail-Kommunikation zu gewährleisten, sollten Benutzer:

• Seien Sie äußerst wachsam gegenüber Bedrohungen: Seien Sie besonders wachsam bei verdächtigen E-Mails (Phishing), nicht verifizierten Links und unerwarteten Anhängen. Klicken Sie nicht auf Links und öffnen Sie keine Anhänge fragwürdiger Herkunft.

Berichterstattung und Überwachung

Bei Hinweisen auf eine Sicherheitsverletzung, einen Missbrauch oder den Verdacht auf einen Sicherheitsvorfall (z.B. Phishing-Versuch, Empfang von Malware) behält sich die HES-SO//FR das Recht vor, die Nutzung der E-Mail-Konten der Benutzer stichprobenartig zu überprüfen. Jeder Vorfall oder jede verdächtige E-Mail muss unverzüglich der IT-Abteilung gemeldet werden

Steuerung

Die HES-SO//FR behält sich das Recht vor, den Internetverkehr ihrer Nutzer zu kontrollieren. Diese Kontrolle ist eine unabdingbare Voraussetzung für die Gewährleistung des Zugangs zum Internet für alle seine Nutzer.
Die eingerichteten Kontrollverfahren entsprechen den Grundsätzen des Schutzes der Privatsphäre und des Datenschutzes, die in den geltenden Gesetzen und Vorschriften vorgeschrieben sind. Die Untersuchungen des Mißbrauchs des Internet werden von der IT‐Abteilung koordiniert, die bei Feststellung eines Verstoßes gegen diese Richtlinie konsultiert wird.
Ein schwerwiegender oder wiederholter Verstoß gegen die Bestimmungen dieser Richtlinie kann zu einer Einschränkung oder zum Entzug des Zugangs zu IT-Geräten führen. Vorbehalten bleiben mögliche Disziplinarstrafen oder rechtliche Schritte.

Im Rahmen unseres Engagements zur Stärkung der Informationssicherheit werden alle Benutzer regelmäßig eingeladen, an Sensibilisierungskampagnen teilzunehmen, die dazu beitragen:

• Verbessern Sie die Reflexe gegen Cyber-Bedrohungen, insbesondere gegen Phishing-Versuche.
• Stellen Sie realistische Szenarien in Form von Übungen im Briefkasten bereit.
• Sofortiges und lehrreiches Feedback für jede Benutzeraktion zu geben.

• individuellen und kollektiven Fortschritt beim Verständnis von Best Practices zu überwachen.

Die Teilnahme an diesen Kampagnen wird dringend empfohlen und ist ein wichtiger Bestandteil der Prävention von Sicherheitsvorfällen. Sie ermöglicht es jedem Einzelnen, als starkes Glied in der Sicherheitskette zu agieren. Es wird eine Liste der Teilnehmerinnen und Teilnehmer dieser Sensibilisierungsmaßnahmen geführt.

Annahmeklausel

Die Annahme dieser Richtlinie ist eine notwendige Voraussetzung für den Zugang zu internen digitalen Ressourcen. Im Falle einer Verweigerung oder eines nachgewiesenen Verstosses behält sich die HES-SO//FR das Recht vor, den Zugang einzuschränken oder auszusetzen.

Verwaltungs- oder Disziplinarmaßnahmen

Benutzerinnen und Benutzer, die sich nicht an die oben genannten Regeln halten, müssen mit technischen und/oder administrativen Massnahmen rechnen. Diese Massnahmen hängen vom Ausmass des Verstosses ab. Zusätzlich zu den Disziplinarstrafen gemäss LPers (vorübergehende Suspendierung oder Versetzung, Verwarnung, Entlassung) können folgende technische Massnahmen ergriffen werden:

• vorübergehende oder endgültige Einschränkung des Netzzugangs;
• Ausschluss aus dem IT-System und Aufforderung zur Rückgabe der Geräte.

Technische Maßnahmen

Es wird keine Unterstützung durch die SI oder die SIU geleistet.
Im Falle von Problemen ist eine Neuinstallation des betreffenden Geräts erforderlich.

Beteiligung an den Kosten der HES‐SO//FR

Hat der HES-SO//FR durch den Missbrauch von EDV‐Geräten Kosten verursacht, behält sich diese das Recht vor, vom Verursacher des Missbrauchs eine Rückerstattung dieser Kosten zu verlangen.

Beteiligung an Gebühren, die von Dritten erhoben werden

Werden der HES-SO//FR infolge des Missbrauchs von Computergeräten Gebühren von Dritten in Rechnung gestellt, behält sich diese das Recht vor, vom Urheber des Missbrauchs die Rückerstattung dieser Kosten sowie die Deckung der internen Kosten zu verlangen, die durch die nicht konforme Verwendung verursacht wurden.

Strafbare Handlungen

Diese internen Sanktionen hindern die HES‐SO//FR nicht daran, im Falle von Verstössen allfällige strafrechtliche Schritte einzuleiten.

Versionsgeschichte

Es wird eine detaillierte Historie der Überarbeitungen der Richtlinie geführt, um die Rückverfolgbarkeit der Änderungen zu gewährleisten und das Verständnis ihrer Entwicklung zu erleichtern.