02 14 PSL ISMS Technische und organisatorische Maßnahmen

Redirect to:

• Https://wiki.parasol-island.com/ISMS

Zurück zur ISMS Übersicht

OBSOLET - UNGÜLTIG - OBSOLET - UNGÜLTIG - OBSOLET - UNGÜLTIG - OBSOLET - UNGÜLTIG - OBSOLET - UNGÜLTIG - OBSOLET - UNGÜLTIG - OBSOLET -

Zutrittskontrolle

Der unbefugte Zutritt zu allen Räumlichkeiten von Parasol Island und insbesondere zu den Serverräumen ist durch geeignete Schutzmaßnahmen verhindert.

Die Räume von Parasol Island sind durch ein Transponder-Schließsystem vor unbefugtem Zutritt geschützt. Das Schlüsselkonzept sieht verschiedene Berechtigungen für unterschiedliche Personen vor. Neben der Protokollierung der Schlüsselausgabe wird auch die Nutzung per Logfiles erfasst. Mitarbeiter können sich mit ihrem Transponder ausschließlich in dem für sie notwendigen Bereich bewegen.

Besucher werden an der Rezeption in Empfang genommen und persönlich zu dem gewünschten Ansprechpartner im Haus geleitet.

Vor dem gewaltsamen Zutritt ist das gesamte Gelände per Alarmanlage gesichert. Der Zutritt zu den Serverräumen ist nur entsprechend berechtigten Personen gestattet.

Siehe auch Dokument:

• Sicherheitszonen Richtlinie (02_03)

Zugangskontrolle

Die Nutzung der Datenverarbeitungssysteme ist Unbefugten verwehrt. Maßnahmen zur Gewährleistung der Zugangsverweigerung sind die zwingende Authentifizierung mit Benutzernamen und Passwort. Die Passwortanforderungen verlangen eine hinreichend sichere Kombination aus Passwortlänge, Verwendung verschiedener Zeichenklassen sowie keine Nutzung bekannter Wörter oder Namen. Die Mitarbeiter sind angehalten, die Passwörter streng geheim zu halten.

• Passwort-Richtlinie (02_13)

Server und Arbeitsplatzrechner sind durch eine Firewall sowie eine regelmäßig aktualisierte Anti-Viren-Software vor unberechtigtem Zugriff von außen geschützt.

Die Mitarbeiter sind angehalten, keine Daten auf USB-Sticks und ähnlichen Datenträgern zu speichern. Erfolgt eine Datenspeicherung auf ein externes Medium, werden die Daten dort verschlüsselt gespeichert.

• Arbeitsanweisung zum Entfernen von Betriebsmitteln (03_04)

Der externe Zugriff auf das Netzwerk (beispielsweise von anderen Standorten wie Berlin oder bei der Arbeit von zuhause) geschieht über eine gesicherte VPN-Verbindung.

Zugriffskontrolle

Jeder Zugriff auf ein Datenverarbeitungssystem der Parasol Island GmbH ist über ein Berechtigungskonzept geregelt. Dadurch ist gewährleistet, dass jeder Mitarbeiter nur zu den Daten, die für seinen Arbeitsprozess relevant sind, Zugang hat. Praktisch geschieht dies durch die Organisation in Gruppen, welche die Berechtigungen nach den Erfordernissen der Arbeitsfelder erhalten. Hierbei wird sich an das Prinzip der minimalen Berechtigung gehalten.

Die Vernichtung von Akten in Papierform wird ausreichend durch den Gebrauch von Aktenvernichtern gesichert. Elektronische Datenträger werden physisch zerstört. Eine technische Aufbereitung und Wiederverwendung findet nicht statt.

Sämtliche Zugriffe auf Anwendungen, insbesondere bei der Eingabe, Änderung und Löschung von Daten, werden protokolliert.

Die Verantwortlichkeit in den Händen nur eines Systemadministrators erfüllt das Gebot der Reduktion auf das Notwendigste. Die Benutzerrechte werden durch ihn verwaltet.

Die oben genannte Firewall sowie die Maßnahmen zur Benutzerauthentifizierung dienen auch der Zugriffskontrolle.

Weitergabekontrolle

Daten werden nur übermittelt, wenn dies zur Erfüllung von vertraglich vereinbarten Leistungen notwendig und unvermeidbar ist.

Die Mitarbeiter sind per Firmenrichtlinie angehalten, keine externen Medien wie USB-Sticks oder mobile Festplatten zu nutzen. Falls im Einzelfall die Nutzung eines transportablen Mediums unvermeidbar ist, werden sensible Daten verschlüsselt transportiert und persönlich übergeben.

Unterlagen und Datenträger, die ihren Zweck erfüllt haben und zu denen die Aufbewahrungsfristen erloschen sind, werden sicher entsorgt.

Eingabekontrolle

Die Eingabe, Änderung und Löschung von Daten wird inklusive des Benutzernamens des jeweiligen Mitarbeiters protokolliert. Die Vergabe von Rechten zur Durchführung dieser Aktivitäten geschieht auf Basis eines Berechtigungskonzepts.

Die berechtigten Zugriffe auf das Firmennetz per VPN werden ebenfalls protokolliert, sodass auch in diesem Fall die Eingabekontrolle gewährleistet ist.

Parasol Island erhebt in der Regel keine personenbezogenen Daten für Kunden. Diese werden, falls nötig, vom Kunden selbst erhoben und gepflegt. Eine Weiterverarbeitung durch Parasol Island geschieht streng nach Weisung des Auftraggebers und nur in dem notwendigen Rahmen.

Überall, wo es möglich ist, erfolgt die Verarbeitung von Daten auf den Kundensystemen. Falls dies nicht möglich ist, verwendet Parasol Island Systeme, die vom Kunden direkt angemietet werden. Eine Übertragung der Daten auf Systeme von Parasol Island erfolgt in aller Regel nicht und bedarf eines zwingenden Grundes.

Auftragskontrolle

In der Regel werden benötigte Rechenzentren vom Kunden und nicht von Parasol Island beauftragt. Sollte Parasol Island selber ein Rechenzentrum beauftragen, geschieht dies nach sorgfältiger Prüfung, insbesondere im Hinblick auf den Datenschutz und die Datensicherheit.

Auch anderweitige infrage kommende Auftragnehmer werden an Maßstäben des Datenschutzes und der Datensicherheit vor einer etwaigen Beauftragung geprüft. Für die Unterbeauftragung hält sich die Parasol Island ebenfalls an das Gebot des Minimalismus und prüft zunächst die Unvermeidbarkeit.

Alle Mitarbeiter von Parasol Island sind auf das Datengeheimnis verpflichtet.

Verfügbarkeitskontrolle

Zur Gewährleistung der Datenverfügbarkeit setzt die Parasol Island folgende Maßnahmen ein:

In den Serverräumen befinden sich Feuerlöschgeräte, Klimaanlagen sowie Geräte zur Überwachung der Temperatur und Feuchtigkeit. Es existieren dort Schutzsteckdosenleisten, Überspannungsschutz und unterbrechungsfreie Stromversorgung (USV).

Die Serverräume befinden sich zur Verringerung des Risikos für einen Wasserschaden nicht unterhalb sanitärer Anlagen und sind mit Alarmmeldung ausgestattet, um einen möglichen Datenverlust durch Diebstahl zu verhindern.

Für relevante Teile der Daten gibt es Datensicherungen an einem ausgelagerten sicheren Ort. Datensicherungen werden regelmäßig erstellt und die Datenwiederherstellung getestet.

Redundant ausgelegte Systeme sowie ein Virenschutzkonzept erhöhen die mögliche Verfügbarkeit weiterhin.

Trennungsgebot

Durch die genutzten Verfahren wird eine unzulässige und unerwünschte Zusammenführung von Daten mit unterschiedlichen Zwecken verhindert. Die Trennung kann je nach Anforderung auf Anwendungsebene oder physikalisch erforderlich und umgesetzt sein.

Mandantendaten werden auf den Systemen logisch getrennt gespeichert. Parasol Island nimmt grundsätzlich die Trennung von Produktiv- und Testsystemen vor.

Verschlüsselung

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen, verwendet Parasol Island Verfahren zur Verschlüsselung der personenbezogenen Daten.

Pseudonymisierung

Soweit möglich nutzt Parasol Island Verfahren, bei denen personenbezogene Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können.

Datenschutzmanagement

Zur Sicherstellung der Einhaltung und der stetiger Optimierung des Datenschutzes hat Parasol Island umfassende Maßnahmen ergriffen. Hierzu wurden Dokumentationen und Unterlagen wie das Datenschutz- und Sicherheitskonzept, die Datenschutzrichtlinie, sowie das Information Security Management System entwickelt.

Die Unterlagen werden regelmäßig (jährlich) geprüft und an die aktuellen Begebenheiten angepasst.

OBSOLET - UNGÜLTIG - OBSOLET - UNGÜLTIG - OBSOLET - UNGÜLTIG - OBSOLET - UNGÜLTIG - OBSOLET - UNGÜLTIG - OBSOLET - UNGÜLTIG - OBSOLET -