Sicherheitsrichtlinien

Informationssicherheitsrichtlinie

Informationen sind ein äußerst wichtiges Gut von XOPERO SOFTWARE, und wir sind dafür verantwortlich, dass diese Informationen sicher aufbewahrt und sachgemäß verwendet werden. Ohne die gebotene Sorgfalt können Informationen offengelegt werden – was bereits für sich genommen ein erhebliches Problem darstellt. Hinzu kommen weitere Risiken durch zunehmend proaktive und ausgefeilte Diebstahlversuche.

Daher wurde die „XOPERO-Informationssicherheitsrichtlinie“ definiert, die sicherstellt, dass von XOPERO gespeicherte und verarbeitete Daten nach höchsten Standards behandelt werden, um ihre Sicherheit zu gewährleisten.

Die folgenden Ziele wurden festgelegt:

• Einhaltung von Gesetzen, Vorschriften und vertraglichen Verpflichtungen im Bereich der Informationssicherheit sicherstellen,
• Schutz der Daten von Kunden und Mitarbeitern sowie der Ressourcen von XOPERO SOFTWARE vor Diebstahl, unbefugter Weitergabe, Missbrauch und anderen Formen von Schäden und Verlusten gewährleisten,
• Die Informationsressourcen von XOPERO SOFTWARE bewerten und auf Basis der Ergebnisse geeignete Kontrollen einführen,
• Sicherstellen, dass XOPERO SOFTWARE seine Dienste auch im Falle eines schwerwiegenden Vorfalls oder anderer Bedrohungen aufrechterhalten kann,
• Sicherstellen, dass externe Anbieter die Informationssicherheitsanforderungen von XOPERO SOFTWARE erfüllen,
• Das Bewusstsein für Informationssicherheit bei den Mitarbeitern von XOPERO SOFTWARE schärfen.

Schutz von IT- und Informationswerten

Was ist Informationssicherheit

Informationssicherheit bezeichnet den Schutz von Informationen, Software und Geräten vor Vorfällen im Zusammenhang mit unbefugter Offenlegung, Veränderung, Unterbrechung und Vernichtung. Neben den Informationen selbst müssen auch Anforderungen an Datenschutz, Vertraulichkeit, Integrität und Verfügbarkeit berücksichtigt werden.

Schutz von IT- und Informationswerten

Das übergeordnete Ziel des Informationssicherheitsprogramms von XOPERO SOFTWARE ist der Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen.

• Vertraulichkeit: Informationen, die nicht für die Öffentlichkeit bestimmt sind, dürfen nur autorisierten Personen zugänglich gemacht werden.
• Integrität: Die fehlerfreie Verarbeitung von Informationen sowie ihr Schutz vor unbefugter Veränderung müssen gewährleistet sein.
• Verfügbarkeit: Informationen müssen innerhalb einer vereinbarten Zeitspanne bereitgestellt werden.

Physische Sicherheit

Physische Informationssicherheit bezeichnet den physischen – nicht elektronischen – Schutz von Informationen und des Zugangs zu diesen. Ein Großteil der Informationssicherheit konzentriert sich auf den Schutz aus Sicht von Systemen, Netzwerken oder Software. Der physische Schutz von Informationen darf dabei jedoch nicht vernachlässigt werden. Allzu häufig werden Informationen kompromittiert, weil unbefugte Personen Schwachstellen in der physischen Sicherheit ausnutzen.

Zugangskontrolle

Zugangskontrollmaßnahmen schützen Informationen, indem sie regeln, wer das Recht hat, verschiedene Informationsressourcen zu nutzen, und indem sie unbefugten Zugriff verhindern. Der Grundsatz lautet: Der Zugang zu allen Systemen, Netzwerken, Diensten, Büros, Räumen und Informationen ist untersagt, sofern er nicht ausdrücklich für einzelne Benutzer oder Benutzergruppen freigegeben wurde.

Dieses Dokument beschreibt:

• Kontoverwaltung
• Registrierung
• Kontoberechtigungen
• Deregistrierung
• Zugriffsüberwachung und -überprüfung
• Fernzugriffskonto
• Konto für Drittanbieterzugriff
• Netzwerkzugriffskonto

Clean-Desk- und Clean-Screen-Richtlinie

Alle Mitarbeiter und Partner sind verpflichtet, eine grundlegende Regel einzuhalten: Materialien mit vertraulichen Daten dürfen nicht unbeaufsichtigt auf Schreibtischen oder im Sichtfeld anderer Personen liegen.

Alle Nutzer von Workstations, PCs/Laptops und anderen Endgeräten stellen sicher, dass ihre Bildschirme gesperrt oder ausgeschaltet sind, wenn sie nicht verwendet werden.

Sicherheitsmaßnahmen für Informationsgeräte

Ziel ist es, die Compliance-Regeln für die Installation und Kontrolle von Informationsgeräten (PCs, externe Speichermedien, Kameras usw.), mobilen Informationsgeräten (Smartphones, Tablets, Mobiltelefone usw.) und Software festzulegen, die für geschäftliche Zwecke genutzt werden, damit die Informationsassets des Unternehmens sicher verwendet werden können.

Sicherheitsmaßnahmen für Informationssysteme

Ziel ist es, die Sicherheitsmaßnahmen für Installation und Betrieb von Informationssystemen und Servern zu definieren, die mit dem Netzwerk von XOPERO SOFTWARE verbunden sind, damit die Informationsassets des Unternehmens zuverlässig geschützt und genutzt werden können.

Sicherheitsmaßnahmen für den Netzwerkbetrieb

Ziel ist es, die Sicherheit und Zuverlässigkeit des XOPERO SOFTWARE-Netzwerks zu erhalten und zu verbessern, indem das Betriebsmanagement beim Aufbau und der Erweiterung des Netzwerks klar geregelt wird.

Nutzung externer Dienste

Ziel ist es, Maßnahmen zur Informationssicherheit festzulegen, die beim Einsatz externer Dienste – etwa von Informationssystemen Dritter – einzuhalten sind, um Informationslecks und ähnliche Risiken für die Informationsassets des Unternehmens zu verhindern. XOPERO SOFTWARE stellt sicher, dass die Sicherheit seiner Informationen gewährleistet ist, und erfüllt alle gesetzlichen, behördlichen und vertraglichen Anforderungen.

Dieses Dokument beschreibt:

• Richtlinie zur Nutzung
• Risikobewertung und Vertrag
• Verwaltung von Lieferanten und Zugriffsrisiken durch Dritte
• Vertragliche Vereinbarung
• Prüfung von Outsourcing-Unternehmen
• Outsourcing-Management
• Zugriff auf Informationsressourcen und Systeme von XOPERO
• Physischer Zugang externer Parteien zu Sicherheitsbereichen
• Zugriff externer Parteien auf das XOPERO SOFTWARE-Netzwerk
• Support und Wartung durch Dritte
• Nach Beendigung des Outsourcing-Vertrags

Management von Informationssicherheitsvorfällen

Ziel ist es, Maßnahmen festzulegen, die Schäden minimieren und einen reibungslosen Übergang zum Normalbetrieb ermöglichen, wenn ein Informationssicherheitsvorfall eintritt und jede Abteilung sofort und angemessen in Zusammenarbeit handelt.

Business Continuity

Dieses Dokument beschreibt die Regelungen zur Ermittlung der Anforderungen an die Resilienz und Business Continuity von Informationssystemen und Informationssicherheitsprozessen. Es wird integraler Bestandteil des übergeordneten Business Continuity Managements der Organisation sein, das alle Aspekte des Geschäftsbetriebs von XOPERO SOFTWARE abdeckt.

Umgang mit personenbezogenen Daten

Ziel ist es, die Anforderungen zu klären, die beim ordnungsgemäßen Erheben, Verwalten und Löschen personenbezogener Daten einzuhalten sind, und die Bestimmungen des Datenschutzgesetzes zu beachten.

Personenbezogene Daten sind Informationen über eine lebende Person, die diese durch Namen, Geburtsdatum oder andere in den Informationen enthaltene Angaben identifizierbar machen – einschließlich Informationen, die sich leicht mit anderen Informationen abgleichen lassen und dadurch die Identifikation ermöglichen – oder Informationen, die individuelle Identifikationscodes enthalten.