02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen
Zurück zur ISMS Übersicht
Zweck der Fremdleistungsrichtlinie
[edit]Die Fremdleistungsrichtlinie soll Informationen zur Auswertung von durch Fremdfirmen erbrachten Leistungen in Hinblick auf die Einhaltung der Informationssicherheit liefern.
Geltungsbereich der Fremdleistungsrichtlinie
[edit]Diese Fremdleistungsrichtlinie gilt für alle Fremdfirmen, die für Parasol Island GmbH tätig werden.
Die Regelungen dieser Fremdleistungsrichtlinie gelten uneingeschränkt. Sie sind verbindlich und dürfen nicht umgangen werden. Ausnahmen von der Fremdleistungsrichtlinie sind nicht zulässig, es sei denn, sie sind in der Fremdleistungsrichtlinie ausdrücklich aufgeführt.
Einstufung
[edit]Vor der Vergabe eines Projektes an eine Fremdfirma wird der Aufgabenbereich einer sicherheitstechnischen Überprüfung unterzogen. Sämtliche Informationen werden ihrer Sicherheitsstufe entsprechend aufgelistet und es wird geprüft, ob die Fremdfirma diese Informationen zur Durchführung des Projektes benötigt.
Die höchste Sicherheitsstufe für die von der Fremdfirma benötigten Informationen definiert das Mindestmaß an Sicherheit, das die Firma erfüllen muss.
Daraus geht hervor, dass eine Fremdfirma, die die Sicherheitseinstufung „Vertraulich“ und „Streng Vertraulich“ erfüllen muss, dieselbe Sicherheitszertifizierung besitzen muss wie Parasol Island GmbH.
Für die Sicherheitseinstufung „Intern“ ist die vertragliche Verpflichtung zur Einhaltung der Verschwiegenheit über die Informationen erforderlich. Dies geschieht in Form einer Verschwiegenheitserklärung (NDA).
Ebenso muss das produzierte Produkt der geforderten Informationssicherheitsrichtlinie entsprechen. Hierbei geht es um die allgemein gültigen Sicherheitsnormen, denen auch die Parasol Island GmbH verpflichtet ist. Bei Serveranwendungen sind dies beispielsweise Schutz vor SQL-Injections, Cross-Site-Scripting und Einfügen von Schadcode in Dateiuploads.
Kontrolle
[edit]Die Zertifizierung wird durch die Kontrolle der Zertifikate seitens der Projektleitung vor Beginn der Datenübergabe durchgeführt. Eine Verschwiegenheitserklärung wird analog dazu gehandhabt. Erst nach erfolgreicher Prüfung dürfen Informationen mit erhöhter Sicherheitseinstufung an die Fremdfirma übertragen werden.
Im laufenden Projekt prüft die Projektleitung, ob die geforderten Sicherheitsmechanismen bei der Informationsübermittlung konsequent eingesetzt werden.
Auf Außeneinsätzen werden begleitende Fremdfirmen ebenfalls von der Projektleitung entsprechend beobachtet und kontrolliert.
Das Produkt wird, falls es sich um eine Anwendung handelt, während der Entwicklung, jedoch spätestens am Ende der Entwicklung einer Sicherheitsüberprüfung unterzogen. Hierbei werden Penetrationstests durchgeführt und der Quellcode in Abhängigkeit von der Projektkomplexität entweder vollständig oder in Teilen einer Sichtprüfung unterzogen.