Datensicherheit

• Bei der Verwendung von personenbezogenen Daten in der Forschung müssen die betroffenen Personen über die Verwendung ihrer Daten informiert werden und sie müssen ihr Einverständnis damit erklären (informed consent). Dies gilt auch bei der Erhebung von biologischem Material.
• Das Erheben von personenbezogenen Daten nach einem Schnee­ball­system ist grundsätzlich unzulässig. Das heisst, man darf Personen nicht nach Informationen über Dritte befragen.

• Forschungsdaten müssen gemäss den Richtlinien für Integrität in der Forschung und gute wissenschaftliche Praxis an der ETH Zürich aufbewahrt werden, um die wissenschaftliche Nachprüfbarkeit der Forschungsergebnisse zu gewährleisten.
• Wer gesundheitsbezogene Personendaten oder biologisches Material für die Forschung aufbewahrt, muss diese Daten durch geeignete betriebliche und organisatorische Massnahmen besonders schützen. Dazu gehören zum Beispiel die zurückhaltende Gewährung des Zugangs zu den Daten (nur wo nötig), die Verschlüsselung oder die Anonymisierung (Art. 5 HFV; Art. 18 KlinV). Auskünfte erteilt die Ethikkommission der ETH Zürich.
• Wenn keine besonderen Löschfristen bestehen, müssen Personendaten (z.B. Forschungsdaten nach externe Seite Humanforschungsgesetz) dann endgültig archiviert oder gelöscht werden, wenn sie für ihren Zweck nicht mehr erforderlich sind.
  

Eigentum der ETH Zürich
Primärdaten, die im Rahmen von Forschungsprojekten an der ETH Zürich erarbeitet werden, bleiben grundsätzlich Eigentum der ETH Zürich. Forschende der ETH Zürich sind nicht verpflichtet, die Daten ausserhalb des Projektteams zugänglich zu machen, bevor sie diese nicht selber verarbeitet, ausgewertet oder publiziert haben.

Wenn Sie nicht mehr zum Projektteam gehören
In jedem Forschungsprojekt wird durch einen Professor/eine Professorin in Absprache mit der jeweiligen Projektleitung bestimmt und schriftlich festgehalten, welche Teilnehmer nach ihrem Ausscheiden aus dem Projektteam Zugang zu den Primärdaten behalten sollen und zu welchen Zwecken sie diese Daten und Materialien verwenden dürfen.

Primärdaten zugänglich machen
Nach Projektabschluss und Ergebnispublikation sollen die Forschungs­ergebnisse und die entsprechenden Ausgangsdaten der Öffentlichkeit zugänglich gemacht werden (soweit keine Geheimhaltungsinteressen oder vertragliche Verpflichtungen entgegenstehen): Open-Access-Policy der ETH Zürich

Planung und Struktur

Definieren Sie innerhalb Ihrer Forschungs- oder Projektgruppe klare Regeln zum Umgang mit Daten und halten Sie sie in einem Datenmanagementplan fest. Die Data Management Checklist liefert wichtige Hinweise zum Thema.

• Daten (auch Primärdaten) sollen geordnet und mit Metadaten versehen, abgelegt werden.
  
• Klassifizieren Sie die Daten bezüglich Vertraulichkeit, Integrität und Verfügbarkeit.
  • Einstufungen der ETH Zürich bzgl. Vertraulichkeit sind: öffentlich, intern, vertraulich
  • Weitere Informationen finden Sie in der Weisung Informationssicherheit.
    
• Legen Sie die Zugriffsrechte fest, geben Sie jeder Rolle (Forscherin, Administrator, Supervisor, etc) nur die wirklich notwendigen Rechte.
• Wenn nötig, legen Sie ein Verschlüsselungsverfahren fest.
  
• Legen Sie ein Versionskontrollsystem fest.
• Legen Sie ein Namensgebungsschema fest.
  
• Speicherung
  
  • Verwenden Sie DOIs für die permanente Speicherung und Identifikation von Daten. DOI = Digital Object Identifier (deutsch: «Digitaler Objektbezeichner») ist ein Seriencode für Objekte, wie zum Beispiel elektronische Dokumente.
    
  • Die seriöse Nachnutzung fremder Forschungsdaten ist nur möglich, wenn die Daten vollständig mit ihrem Kontext dokumentiert sind. Sorgen Sie deshalb dafür, dass solche Kontextinformationen zusammen mit Ihren Daten gespeichert sind und nicht an unterschiedlichen Orten verstreut liegen.
  • Vermeiden Sie es, Daten auf Offline-​Medien (CDs, DVDs, USB-​Sticks, Band) zu speichern, die verloren oder kaputtgehen oder vergessen werden können.
  • Programme und Fileformate verändern sich im Laufe der Zeit, sodass alte Dateien möglicherweise nicht mehr zuverlässig gelesen werden können. Die Fachstelle Forschungsdatenmanagement und Datenerhalt gibt Empfehlungen zur Archivtauglichkeit von Dateiformaten.
    

Umsetzung

• Halten Sie sich an den Datenmanagementplan.
• Dokumentieren Sie, wie Daten aufbereitet wurden beziehungsweise was sie enthalten und zu welchem Zweck sie verwendet werden können.
• Führen Sie ein Laborjournal. Schreiben Sie ReadMes.
  
• Dokumentieren Sie die Urheberrechte und die intellektuelle Eigentumssituation, um zu prüfen, wer die intellektuellen Eigentumsrechte an den Daten hält.
• Kontrollieren und verwalten Sie Ihre Zugriffsrechte auf Daten und Systeme. Halten Sie diese stets aktuell.
  

Aufräumen nach Projektende

Sorgen Sie dafür, dass Daten und Materialien nach Abschluss des Projektes während der für das Fachgebiet massgebenden Frist aufbewahrt und innerhalb der gesetzlich vorgegeben Frist ordnungsgemäss vernichtet werden.

Datenklassifikation beachten
Beachten Sie die Klassifikationen der Datenbestände (bzgl. Vertraulichkeit, Verfügbarkeit und Integrität), mit denen Sie arbeiten. Wurden die Daten von Dritten übergeben, sind ebenfalls deren Einstufungen zu beachten.

Dokumente wegschliessen
Halten Sie sensitive physische Dokumente und Datenträger unter Verschluss.

Verschlüsseln sensitiver Daten und Dokumente
Speichern Sie sensitive Daten verschlüsselt ab, wenn Sie sicherstellen wollen, dass ausschliesslich die Personen im Besitz des Schlüssels sich Zugriff auf die Daten verschaffen können.

Sorgfältiger Umgang
Lassen Sie bei der Datenablage (physisch oder Cloud-basiert), bei der Datenlöschung oder beim Hochladen von Daten auf Websites Vorsicht walten. So verhindern Sie, dass selbst erstellte oder genutzte Daten unbeabsichtigt verteilt oder publiziert werden.

Sensitive Daten nur verschlüsselt übermitteln
Besondere Personendaten, vertrauliche Daten und andere sensitive Daten dürfen nur verschlüsselt übermittelt werden.

Achten Sie darauf,

• dass die Datenübertragung zum Zielsystem verschlüsselt erfolgt (https://)
  oder
  
• die Daten zu verschlüsseln, z.B. mit WinZip
  oder
• die Daten mit einer verschlüsselten E-Mail zu versenden.

Sensitive Daten nur mit vertrauenswürdigen Computern bearbeiten
Wenn Sie nicht sicher sein können, ob auf einem System alle aktuellen Security Patches installiert sind, ob der Virenscanner läuft und ob er ebenfalls aktuell ist, ob nur vertrauenswürdige Personen Zugriff hatten, dann sollten Sie nicht mit dem System arbeiten, schon gar nicht, wenn sie sensitive Daten bearbeiten wollen.  

Speicher-​Service nutzen
Nutzen einen professionell verwalteten Speicher-​Service (von den Informatik­diensten oder Ihrer Informatiksupportgruppe). Dies ist die beste und zuver­lässigste Art und Weise, um Ihre Daten aufzubewahren.

Selbstverwalteter Speicher
Falls Sie Ihre Speicherung selbst verwalten müssen (oder wollen), verwenden Sie ein Network-Attached-Storage (NAS), das RAID-​Festplatten verwendet. Stellen Sie sicher, dass Sie immer die jüngsten Sicherheitsaktualisierungen installieren und das NAS an einem verschlossenen und sicheren Ort aufbewahren.

Externe Festplatten
Verwenden Sie externe Festplatten nur, sofern Sie über zusätzliche Sicherheitskopien verfügen. Beim Speichern von Daten auf einer externen Festplatte riskieren Sie einen Datenverlust, da diese physisch entfernt oder verloren gehen können.

Privater Cloud-​Speicher
Nehmen Sie nur ein von der ETH gehostetes privates Cloud-​Storage-System (z.B. polybox) in Anspruch.

Externe Cloud-​Services
Falls keine andere Lösung zur Verfügung steht, können externe Cloud-​Services für nicht sensible Daten in Anspruch genommen werden, sofern alle übergeordneten Compliance-Anforderungen eingehalten werden. Es wird dringend empfohlen, den Rechtsdienstder ETH Zürich beizuziehen.

Unterstützung
Ihr IT-Support kann Sie bezüglich der Aufbewahrung Ihrer Daten unterstützen.

Backups durchführen

Vergewissern Sie sich, dass Backups durchgeführt werden und informieren Sie sich über die Aufbewahrungsfristen.

Wiederherstellung prüfen

Prüfen Sie sporadisch, ob Sie die Daten aus dem Backup wiederherstellen und nutzen können.

Backup-Service nutzen

• Nutzen Sie einen professionell verwalteten Backup-​​Service (von den Informatikdiensten oder Ihrer Informatiksupportgruppe). Dies ist die beste und zuverlässigste Art und Weise, um Ihre Daten zu sichern.
• Täglich werden an der ETH Zürich ca. 150 Terabyte Daten gesichert. Tendenz steigend. Wenn Sie grosse Datenmengen erwarten, nehmen Sie mit dem für Ihre Gruppe zuständigen IT-​Support Kontakt auf, damit die notwendigen Ressourcen geplant werden können.

Selbstverwaltete Backups

Falls Sie sich entscheiden, Ihre Backups selbst zu verwalten, halten Sie bitte an die folgenden Aspekte:

• Häufigkeit des Backups 
  
• Aufbewahrungsfristen
  
• Räumliche Trennung zwischen den jeweiligen Kopien der Daten
• Aufbewahrung der Backup-Medien an einem sicheren Ort

Vorgesetzte, Entscheidungsträger
Legen Sie ein Verfahren fest, wie Daten bei Austritten oder internen Wechseln geordnet übergeben werden.

Austretende
Übergeben Sie vor Wechsel der Arbeitsstelle oder des Projekts alle geschäfts­relevanten Daten und Forschungsdaten an Ihre Nachfolgenden oder an die vorgesetzte Person.

Verschlüsselte Daten müssen entweder mit dem zugehörigen Private Key übergeben werden oder entschlüsselt und mit dem Key Private Key des Nachfolgenden neu verschlüsselt werden.