Sicherheitspolitik

  1. Amilon setzt eine Informationssicherheitspolitik um, die ihrem Dienstbereich angemessen ist, mit besonderem Augenmerk auf die Verarbeitung personenbezogener Daten.
  2. Amilon aktualisiert seine Sicherheitspolitik mindestens einmal jährlich und informiert seine Mitarbeiter, Mitarbeiter und Dritte, die an der Datenverarbeitung beteiligt sind.

Rollen und Verantwortlichkeiten

  1. Amilon definiert, dokumentiert und informiert andere über die Rollen und Verantwortlichkeiten des Personals, das an der Verwaltung von Datenschutzprozessen beteiligt ist.
  2. Die Rollen und Verantwortungsbereiche der Hauptakteure des Datenschutzmanagements (z.B. Sicherheitsbeauftragter, Sicherheitsrevisor, DSB) sind unter Beachtung des Prinzips der Funktionstrennung definiert, d.h. sie sind so klar und unabhängig wie möglich.

Zugriffsverwaltung

  1. Amilon erstellt, dokumentiert und implementiert eine Zugangspolitik mit präzisen Regeln für die Zugangskontrolle, mit spezifischen Rechten und Einschränkungen je nach der Rolle, die der Benutzer bei der Verarbeitung persönlicher Daten spielt.
  2. Auf der Grundlage überprüfter Berechtigungskriterien identifiziert Amilon die Rollen, denen Administratorbefugnisse gewährt werden, und beschränkt ihre Zuweisung auf eine Mindestanzahl von Benutzern.
  3. Amilon implementiert ein System von Zugangskontrollen für alle Benutzer von Informationssystemen, das die Erstellung, Genehmigung, Überwachung und Löschung von Konten vorsieht.
  4. Die Verwendung von allgemeinen oder gemeinsam genutzten Konten ist nicht erlaubt, so dass Konten individuell und einzigartig sind.
  5. Der implementierte Authentifizierungsmechanismus ermöglicht den Zugang zu den Systemen durch die Verwendung einer Benutzer-ID und eines Passworts oder durch biometrische Authentifizierung (Fingerabdrücke). Das Passwort ist komplex (Länge, Zahlen, Buchstaben, Sonderzeichen) und hat eine Gültigkeitsdauer von maximal 90 Tagen. Nach 90 Tagen ist der Benutzer gezwungen, es zu ändern.
  6. Die Passwortrichtlinie wird formell dokumentiert und an das Personal verteilt.
  7. Die Passwörter der Benutzer werden in Hash-Form gespeichert, d.h. mit einem Algorithmus verschlüsselt, der keine Reversibilität der Verschlüsselung zulässt.

Vermögensverwaltung

  1. Amilon erstellt ein Inventar der IT-Assets (Hardware, Software, Netzwerk), die für die Verarbeitung personenbezogener Daten verwendet werden, und hält es auf dem neuesten Stand; das Inventar enthält folgende Informationen: Asset, Typ, Standort, Asset Manager, Asset Assignee.
  2. Amilon identifiziert das Personal, das Zugang zu den einzelnen Informationsbeständen haben kann oder auch nicht, insbesondere wenn es an der Verarbeitung bestimmter persönlicher Daten beteiligt ist.

Verwaltung von Änderungen

  1. Amilon erfasst und überwacht alle Änderungen, die an seinen IT-Assets durch autorisiertes Personal vorgenommen werden.
  2. Die Entwicklungsaufgaben werden in einer geschützten Umgebung durchgeführt, die von den für die Verarbeitung personenbezogener Daten verwendeten IT-Systemen getrennt ist.
  3. Die Testumgebung, die von der Entwicklungs- und der Produktionsumgebung getrennt ist, enthält keine tatsächlichen Daten, und falls vorhanden, sind sie durch Sicherheitsmaßnahmen geschützt, die den in der Produktionsumgebung vorhandenen gleichwertig sind.
  4. Amilon erstellt und dokumentiert eine Änderungsmanagement-Richtlinie, die die Rollen und Verantwortlichkeiten der beteiligten Funktionen und den Kontrollprozess definiert.

Vorfall-Management

  1. Amilon implementiert einen Vorfallsmanagementplan.
  2. Amilon implementiert ein Verfahren für das Management von Datenverletzungen und die Benachrichtigung des Datenschutzbeauftragten.
  3. Amilon verfügt über eine Liste von Vorfällen mit hoher Auswirkung (einschließlich Datenverstößen), in der die ergriffenen Abhilfemaßnahmen angegeben sind.

Geschäftskontinuität und Notfallwiederherstellung

  1. Amilon erstellt, dokumentiert und implementiert einen Business-Continuity-Plan, der das garantierte Service-Level definiert und die am Prozess beteiligten Rollen und Verantwortlichkeiten festlegt.
  2. Amilon erstellt, dokumentiert und implementiert einen Disaster Recovery Plan.

Ausbildung des Personals

  1. Die Grundprinzipien und Datenschutzbestimmungen werden an alle Mitarbeiter weitergegeben.
  2. Für GDPR werden spezifische Schulungs- und Auffrischungsprogramme angeboten, je nach der Rolle, die das Personal bei der Verarbeitung personenbezogener Daten spielt.

Protokollierung und Überwachung

  1. Zugriffsprotokolle zu allen Informationssystemen werden verfolgt und sicher gespeichert.
  2. Von Systemadministratoren durchgeführte Aktionen, einschließlich des Hinzufügens, Änderns oder Löschens von Benutzerrechten, werden verfolgt.
  3. Der Zugriff auf die Protokolle und alle Änderungen werden wiederum durch Protokolle verfolgt.
  4. Ein Prozess der periodischen Überwachung der Protokolle ist implementiert.

Datenbank- und Server-Sicherheit

  1. Datenbanken und Anwendungsserver sind nach dem Prinzip der Datenminimierung konfiguriert (es sind nicht mehr Daten in den Systemen als unbedingt notwendig).
  2. Für den Betrieb auf Datenbank- und Anwendungsserverebene sind getrennte Konten erforderlich, während auf Betriebssystemebene Mindestprivilegien gewährt werden.

Sicherheit am Arbeitsplatz

  1. Zugewiesene Benutzer der Arbeitsstation können die Sicherheitseinstellungen nicht deaktivieren oder umgehen.
  2. Antiviren- und Erkennungssignatursoftware wird auf allen Computern konfiguriert.
  3. Computer sind so eingestellt, dass die Sitzung nach einer bestimmten Zeit der Inaktivität des Benutzers (5 Minuten) automatisch gesperrt wird.
  4. Bei 5 falschen Eingaben des Zugangspasswortes wird der Benutzer für 10 Minuten gesperrt.
  5. Relevante Updates, die vom Betriebssystem-Entwickler veröffentlicht werden, werden regelmäßig installiert.
  6. Von der Möglichkeit, persönliche Daten von der Arbeitsstation auf ein externes Speichermedium (z.B. USB, externe Festplatten, CD/DVD) zu übertragen, wird durch die Festlegung von Verhaltensstandards abgeraten.

Netzwerk- und Kommunikationssicherheit

  1. Übertragungen von Informationen über das Internet werden durch die Verwendung verschlüsselter Kommunikationsprotokolle geschützt; insbesondere Amilon verwendet https/ftps-Protokolle.
  2. Der Zugriff auf IT-Systeme über ein drahtloses Netzwerk ist nur den von der Systemabteilung autorisierten Benutzern und Systemen gestattet.
  3. Falls erforderlich, wird der Fernzugriff nur von Geräten durchgeführt, die über ein Virtual Private Network (VPN) vorautorisiert wurden.
  4. Eingehender und ausgehender Datenverkehr von IT-Systemen wird durch Firewalls und Intrusion-Detection-Systeme überwacht und kontrolliert.

Sicherung und Wiederherstellung

  1. Backups werden sicher gespeichert, nach Regeln und Verfahren, die je nach Datentyp und dem Dienst, der die Daten verwendet, festgelegt werden.
  2. Die Ausführung von Backups wird überwacht und es werden regelmäßige Wiederherstellungstests durchgeführt, um ihre Konsistenz und Vollständigkeit zu beurteilen.
  3. Täglich werden vollständige und inkrementelle Sicherungen der Geschenkkartenbewegungsdaten durchgeführt.

Mobiles Gerät

  1. Die Nutzung mobiler und tragbarer Geräte wird durch die Ausarbeitung und Veröffentlichung von Verhaltensregeln geregelt.

Sicherheit im Lebenszyklus von Anwendungen

  1. In den frühen Phasen der Software-Entwicklung werden bestimmte Sicherheitsanforderungen definiert.
  2. Der Lebenszyklus von Anwendungen wird durch die Verwendung und Konsultation bewährter Verfahren und sicherer Kodierungsstandards (https://safecode.org/) geleitet.
  3. Schwachstellenbewertung und Penetrationstests werden periodisch durchgeführt.
  4. Patches werden in der Testumgebung getestet und autorisiert, bevor sie in der Produktionsumgebung installiert werden.

Löschung und Entsorgung von Daten

  1. Alle Geräte müssen vor der Entsorgung neu beschrieben werden.
  2. Amilon rät von der Verwendung von Papiermedien für Dokumente, die persönliche und/oder klassifizierte Daten enthalten, ab; falls erforderlich, werden diese Dokumente jedoch sicher in verschlossenen Schränken und/oder Schubladen aufbewahrt oder sicher vernichtet.
  3. Computergeräte, deren Daten nicht sicher gelöscht werden können, sind physisch so zu zerstören, dass die Daten nicht wiederherstellbar sind.

Physische Sicherheit

  1. Informationssysteme werden durch physische Barrieren vor unberechtigtem Zugriff geschützt.
  2. Der Zutritt zu Räumen mit Informationssystemen wird aufgezeichnet und überwacht.
  3. Wartungspersonal und Besucher werden registriert und während der gesamten Dauer ihres Besuchs von einer autorisierten internen Kontaktperson begleitet.
  4. Amilon verfügt über einen physischen Sicherheitsplan, und durch ein entsprechendes Informationsprogramm werden seine Mitarbeiter und Mitarbeiter daran erinnert, sich angemessen zu verhalten.
  5. Der Zugang des Personals zu den Büros wird durch die Verwendung magnetischer Ausweise ermöglicht