Sicherheitsrichtlinien

Informationssicherheitsrichtlinie

Informationen sind ein äußerst wichtiges Asset von XOPERO SOFTWARE. Wir tragen die Verantwortung dafür, dass diese Informationen sicher aufbewahrt und sachgemäß verwendet werden. Ohne die gebotene Sorgfalt können Informationen offengelegt werden – was bereits für sich genommen ein erhebliches Problem darstellt. Hinzu kommen weitere Herausforderungen im Schutz vor zunehmend proaktiven und ausgefeilten Angriffen.

Daher wurde die „XOPERO-Informationssicherheitsrichtlinie“ definiert, die sicherstellt, dass von XOPERO gespeicherte und verarbeitete Daten nach den höchsten Standards behandelt werden, um ihre Sicherheit zu gewährleisten.

Folgende Ziele wurden definiert:

• Sicherstellung der Compliance mit Gesetzen, Vorschriften und vertraglichen Verpflichtungen in Bezug auf Informationssicherheit,
• Schutz der Daten von Kunden und Mitarbeitern sowie der Assets von XOPERO SOFTWARE vor Diebstahl, Offenlegung, Missbrauch und anderen Formen von Schaden und Verlust,
• Bewertung der Informations-Assets von XOPERO SOFTWARE und Implementierung geeigneter Kontrollen auf Basis der Ergebnisse,
• Sicherstellung der Fortführung der Dienste von XOPERO SOFTWARE im Falle eines schwerwiegenden Vorfalls oder anderer Bedrohungen,
• Sicherstellung, dass externe Anbieter die Informationssicherheitsanforderungen von XOPERO SOFTWARE erfüllen,
• Stärkung des Informationssicherheitsbewusstseins bei den Mitarbeitern von XOPERO SOFTWARE.

Schutz von IT- und Informations-Assets

Was ist Informationssicherheit?

Informationssicherheit bezeichnet den Schutz von Informationen, Software und Geräten vor Vorfällen im Zusammenhang mit Offenlegung, Veränderung, Unterbrechung und Vernichtung. Dabei müssen neben den Informationen selbst auch die Anforderungen an Datenschutz, Vertraulichkeit, Integrität und Verfügbarkeit berücksichtigt werden.

Schutz von IT- und Informations-Assets

Das primäre Ziel des Informationssicherheitsprogramms von XOPERO SOFTWARE ist der Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen.

• Vertraulichkeit: Informationen, die nicht für die Öffentlichkeit bestimmt sind, dürfen nur autorisierten Personen zugänglich gemacht werden.
• Integrität: Die fehlerfreie Verarbeitung von Informationen und ihr Schutz vor unbefugter Änderung müssen gewährleistet sein.
• Verfügbarkeit: Informationen müssen innerhalb einer vereinbarten Frist bereitgestellt werden.

Physische Sicherheit

Physische Informationssicherheit bezeichnet den körperlichen – nicht elektronischen – Schutz von Informationen und den Zugang zu diesen. Ein Großteil der Informationssicherheit konzentriert sich auf den Schutz aus System-, Netzwerk- oder Softwareperspektive. Den physischen Schutz von Informationen dürfen wir dabei jedoch nicht vernachlässigen. Viel zu oft werden Informationen kompromittiert, weil unbefugte Personen schwache physische Sicherheitsvorkehrungen ausnutzen.

Zugangskontrolle

Zugangskontrollen schützen Informationen, indem sie regeln, wer welche Ressourcen nutzen darf, und unbefugten Zugriff verhindern. Das Grundprinzip lautet: Der Zugang zu allen Systemen, Netzwerken, Diensten, Büros, Räumen und Informationen ist verboten, sofern er nicht ausdrücklich für einzelne Benutzer oder Benutzergruppen freigegeben wurde.

Dieses Dokument beschreibt:

• Kontoverwaltung
• Registrierung
• Kontoberechtigungen
• Deregistrierung
• Überwachung und Überprüfung des Zugangs
• Remote-Zugriffskonto
• Drittanbieterzugriffskonto
• Netzwerkzugriffskonto

Clean-Desk- und Clean-Screen-Richtlinie

Alle Mitarbeiter und Partner halten sich an eine grundlegende Regel: Materialien mit vertraulichen Daten dürfen nicht unbeaufsichtigt auf Schreibtischen oder im Sichtbereich anderer liegen.

Alle Benutzer von Workstations, PCs/Laptops und anderen Endgeräten stellen sicher, dass ihre Bildschirme gesperrt oder ausgeschaltet sind, wenn sie nicht genutzt werden.

Sicherheitsmaßnahmen für Informationsgeräte

Zweck dieser Regelung ist es, die Compliance-Vorgaben für die Installation und Kontrolle von Informationsgeräten (PCs, externe Speichermedien, Kameras usw.), mobilen Informationsgeräten (Smartphones, Tablets, Mobiltelefone usw.) sowie betrieblich genutzter Software festzulegen, damit die Informationsassets des Unternehmens sicher verwendet werden.

Sicherheitsmaßnahmen für Informationssysteme

Ziel ist es, die Sicherheitsmaßnahmen für Installation und Betrieb von Informationssystemen und Servern zu definieren, die mit dem Netzwerk von XOPERO SOFTWARE verbunden sind, damit die Informationsressourcen des Unternehmens zuverlässig geschützt und genutzt werden.

Sicherheitsmaßnahmen für den Netzwerkbetrieb

Ziel ist es, die Sicherheit und Zuverlässigkeit des Netzwerks von XOPERO SOFTWARE zu erhalten und zu verbessern, indem das Betriebsmanagement beim Aufbau und der Erweiterung des Netzwerks klar geregelt wird.

Nutzung externer Dienste

Ziel ist es, Informationssicherheitsmaßnahmen festzulegen, die verhindern, dass Informationsressourcen des Unternehmens – etwa durch die Nutzung externer Dienste wie von Dritten bereitgestellter Informationssysteme – nach außen gelangen. XOPERO SOFTWARE stellt sicher, dass die Sicherheit seiner Informationen gewährleistet ist, und erfüllt alle gesetzlichen, regulatorischen und vertraglichen Anforderungen.

Dieses Dokument beschreibt:

• Nutzungsrichtlinie
• Risikobewertung und Vertrag
• Management von Lieferanten- und Drittparteirisiken
• Vertragliche Vereinbarungen
• Prüfung von Outsourcing-Unternehmen
• Outsourcing-Management
• Zugang zu Informationsressourcen und Systemen von XOPERO
• Physischer Zutritt externer Parteien zu gesicherten Bereichen
• Zugang externer Parteien zum Netzwerk von XOPERO SOFTWARE
• Support und Wartung durch Dritte
• Nach Beendigung des Outsourcing-Vertrags

Management von Informationssicherheitsvorfällen

Ziel ist es, Maßnahmen festzulegen, die Schäden minimieren und eine schnelle Rückkehr zum Normalbetrieb ermöglichen, wenn ein Informationssicherheitsvorfall eintritt und die betroffenen Abteilungen unverzüglich und koordiniert handeln.

Geschäftskontinuität

Dieses Dokument beschreibt die Regelungen zur Ermittlung der Anforderungen an Resilienz und Kontinuität von Informationssystemen und Informationssicherheitsprozessen. Es ist integraler Bestandteil des übergeordneten Business Continuity Managements, das alle Bereiche des Geschäftsbetriebs von XOPERO SOFTWARE abdeckt.

Umgang mit personenbezogenen Daten

Ziel ist es, die Vorgaben für die ordnungsgemäße Erhebung, Speicherung und Löschung personenbezogener Daten zu definieren und das Datenschutzgesetz einzuhalten.

Personenbezogene Daten sind Informationen über eine lebende Person, die diese anhand von Name, Geburtsdatum oder anderen Angaben identifizierbar machen – einschließlich Informationen, die in Kombination mit anderen Daten eine eindeutige Identifikation ermöglichen – sowie Informationen, die individuelle Identifikationscodes enthalten.