Trust Center
Kontrollen
Infrastruktursicherheit
- Unbekannt: Eindeutige Authentifizierung für Produktionsdatenbanken erzwungenDas Unternehmen verlangt für den Zugriff auf Produktionsdatenspeicher autorisierte, sichere Authentifizierungsverfahren, etwa eindeutige SSH-Schlüssel.
- Unbekannt: Zugriff auf Verschlüsselungsschlüssel eingeschränktDas Unternehmen beschränkt den privilegierten Zugriff auf Verschlüsselungsschlüssel auf autorisierte Benutzer mit geschäftlichem Bedarf.
- Unbekannt: Eindeutige Kontoauthentifizierung erzwungenDas Unternehmen verlangt für den Zugriff auf Systeme und Anwendungen einen eindeutigen Benutzernamen mit Passwort oder autorisierte SSH-Schlüssel (Secure Socket Shell).
- Unbekannt: Zugriff auf Produktionsanwendungen eingeschränktDer Systemzugriff ist auf autorisierte Zugriffe beschränkt.
- Unbekannt: Zugriffskontrollverfahren festgelegtDie Zugriffskontrollrichtlinie des Unternehmens dokumentiert die Anforderungen an folgende Funktionen der Zugriffskontrolle: Anlegen neuer Benutzer, Ändern von Benutzern und/oder Entzug des Zugriffs bestehender Benutzer.
- Unbekannt: Zugriff auf Produktionsdatenbanken eingeschränktDas Unternehmen beschränkt den privilegierten Zugriff auf Datenbanken auf autorisierte Benutzer mit geschäftlichem Bedarf.
- Unbekannt: Zugriff auf Produktionsbetriebssysteme eingeschränktDas Unternehmen beschränkt den privilegierten Zugriff auf das Betriebssystem auf autorisierte Benutzer mit geschäftlichem Bedarf.
- Unbekannt: Zugriff auf das Produktionsnetzwerk eingeschränktDas Unternehmen beschränkt den privilegierten Zugriff auf das Produktionsnetzwerk auf autorisierte Benutzer mit geschäftlichem Bedarf.
- Unbekannt: Eindeutige Authentifizierung für Netzwerksysteme erzwungenDas Unternehmen verlangt für den Zugriff auf das Produktionsnetzwerk eindeutige Benutzernamen mit Passwort oder autorisierte SSH-Schlüssel (Secure Socket Shell).
- Unbekannt: MFA für Fernzugriff erzwungenAuf die Produktionssysteme des Unternehmens können nur autorisierte Mitarbeiter mit einer gültigen Multi-Faktor-Authentifizierung (MFA) aus der Ferne zugreifen.
- Unbekannt: Verschlüsselung für Fernzugriff erzwungenAuf die Produktionssysteme des Unternehmens können nur autorisierte Mitarbeiter über eine genehmigte verschlüsselte Verbindung aus der Ferne zugreifen.
Organisatorische Sicherheit
- Unbekannt: Anti-Malware-Technologie eingesetztDas Unternehmen setzt in Umgebungen, die häufig Ziel von Angriffen sind, Anti-Malware-Technologie ein, die regelmäßig aktualisiert, protokolliert und auf allen relevanten Systemen installiert wird.
- Unbekannt: Hintergrundprüfungen von Mitarbeitern durchgeführtDas Unternehmen führt bei neuen Mitarbeitern Hintergrundprüfungen durch.
- Unbekannt: Vertraulichkeitsvereinbarung von Mitarbeitern bestätigtDas Unternehmen verlangt von Mitarbeitern, beim Onboarding eine Vertraulichkeitsvereinbarung zu unterzeichnen.
- Unbekannt: Besucherverfahren durchgesetztDas Unternehmen verlangt, dass sich Besucher anmelden, einen Besucherausweis tragen und beim Zugang zum Rechenzentrum oder zu Sicherheitsbereichen von einem autorisierten Mitarbeiter begleitet werden.
Produktsicherheit
- Unbekannt: Datenverschlüsselung eingesetztDie Datenspeicher des Unternehmens mit sensiblen Kundendaten sind im Ruhezustand verschlüsselt.
- Unbekannt: Selbstbewertungen der Kontrollen durchgeführtDas Unternehmen bewertet seine Kontrollen mindestens jährlich selbst, um sicherzustellen, dass sie vorhanden sind und wirksam funktionieren. Auf Grundlage relevanter Befunde werden Korrekturmaßnahmen ergriffen. Hat sich das Unternehmen für einen Befund zu einer SLA verpflichtet, wird die Korrekturmaßnahme innerhalb dieser SLA abgeschlossen.
- Unbekannt: Penetrationstests durchgeführtDas Unternehmen führt mindestens jährlich Penetrationstests durch. Es wird ein Behebungsplan erstellt, und Änderungen zur Behebung von Schwachstellen werden gemäß den SLAs umgesetzt.
- Unbekannt: Verfahren für Schwachstellen- und Systemüberwachung festgelegtDie formalen Richtlinien des Unternehmens legen die Anforderungen an folgende Funktionen in IT und Entwicklung fest: Schwachstellenmanagement und Systemüberwachung.
Interne Sicherheitsverfahren
- Unbekannt: Pläne für Geschäftskontinuität und Notfallwiederherstellung festgelegtDas Unternehmen verfügt über Pläne für Geschäftskontinuität und Notfallwiederherstellung, die Kommunikationspläne enthalten, um die Kontinuität der Informationssicherheit bei Ausfall von Schlüsselpersonal zu gewährleisten.
- Unbekannt: Pläne für Geschäftskontinuität und Notfallwiederherstellung getestetDas Unternehmen verfügt über einen dokumentierten Plan für Geschäftskontinuität und Notfallwiederherstellung (BC/DR) und testet ihn mindestens jährlich.
- Unbekannt: Cyberversicherung unterhaltenDas Unternehmen unterhält eine Cyberversicherung, um die finanziellen Folgen von Betriebsunterbrechungen abzufedern.
- Unbekannt: Konfigurationsmanagementsystem eingerichtetDas Unternehmen verfügt über ein Konfigurationsmanagementverfahren, das sicherstellt, dass Systemkonfigurationen in der gesamten Umgebung einheitlich bereitgestellt werden.
- Unbekannt: Entwicklungslebenszyklus festgelegtDas Unternehmen verfügt über eine formale Methodik für den Systementwicklungslebenszyklus (SDLC), die Entwicklung, Beschaffung, Einführung, Änderungen (einschließlich Notfalländerungen) und Wartung von Informationssystemen und zugehörigen technischen Anforderungen regelt.
- Unbekannt: SOC 2 – SystembeschreibungEine Beschreibung des Systems für Abschnitt III des Prüfberichts erstellen
- Unbekannt: Hinweisgeberrichtlinie eingeführtDas Unternehmen hat eine formale Hinweisgeberrichtlinie eingeführt und einen anonymen Kommunikationskanal eingerichtet, über den Benutzer mögliche Probleme oder Betrugsverdacht melden können.
- Unbekannt: Aufsichtsbriefings des Vorstands durchgeführtDer Vorstand des Unternehmens oder ein zuständiger Ausschuss wird mindestens jährlich von der Geschäftsleitung über den Stand der Cybersicherheits- und Datenschutzrisiken unterrichtet. Der Vorstand gibt der Geschäftsleitung bei Bedarf Feedback und Vorgaben.
- Unbekannt: Vorstandssatzung dokumentiertDer Vorstand des Unternehmens hat eine dokumentierte Satzung, die seine Aufsichtspflichten für die interne Kontrolle festlegt.
- Unbekannt: Fachkompetenz des Vorstands aufgebautDie Vorstandsmitglieder verfügen über ausreichende Fachkompetenz, um zu überwachen, ob die Geschäftsleitung Informationssicherheitskontrollen entwerfen, umsetzen und betreiben kann. Bei Bedarf zieht der Vorstand externe Experten und Berater für Informationssicherheit hinzu.
- Unbekannt: Vorstandssitzungen abgehaltenDer Vorstand des Unternehmens tritt mindestens jährlich zusammen und führt formale Sitzungsprotokolle. Dem Vorstand gehören vom Unternehmen unabhängige Mitglieder an.
- Unbekannt: Backup-Prozesse festgelegtDie Datensicherungsrichtlinie des Unternehmens dokumentiert die Anforderungen an Sicherung und Wiederherstellung von Kundendaten.
- Unbekannt: Systemänderungen extern kommuniziertDas Unternehmen informiert Kunden über kritische Systemänderungen, die ihre Verarbeitung beeinträchtigen können.
- Unbekannt: Rollen und Verantwortlichkeiten der Geschäftsleitung definiertDie Geschäftsleitung des Unternehmens hat Rollen und Verantwortlichkeiten festgelegt, um die Gestaltung und Umsetzung der Informationssicherheitskontrollen zu überwachen.
- Unbekannt: Rollen und Verantwortlichkeiten festgelegtRollen und Verantwortlichkeiten für Entwurf, Entwicklung, Umsetzung, Betrieb, Wartung und Überwachung von Informationssicherheitskontrollen sind in Stellenbeschreibungen und/oder der Richtlinie zu Rollen und Verantwortlichkeiten formal zugewiesen.
- Unbekannt: Sicherheitsrichtlinien festgelegt und überprüftDie Informationssicherheitsrichtlinien und -verfahren des Unternehmens sind dokumentiert und werden mindestens jährlich überprüft.
- Unbekannt: Supportsystem verfügbarDas Unternehmen betreibt ein extern erreichbares Supportsystem, über das Benutzer Ausfälle, Vorfälle, Bedenken und andere Beschwerden an die zuständigen Personen melden können.
- Unbekannt: Systemänderungen kommuniziertDas Unternehmen teilt Systemänderungen autorisierten internen Benutzern mit.
- Unbekannt: Zugriffsanträge erforderlichDas Unternehmen stellt sicher, dass der Benutzerzugriff auf Systemkomponenten im Geltungsbereich auf Rolle und Funktion beruht oder vor der Bereitstellung einen dokumentierten Zugriffsantrag und die Genehmigung der Führungskraft erfordert.
- Unbekannt: Richtlinien zur Reaktion auf Sicherheitsvorfälle festgelegtDas Unternehmen verfügt über dokumentierte Richtlinien und Verfahren zur Reaktion auf Sicherheits- und Datenschutzvorfälle, die autorisierten Benutzern kommuniziert werden.
- Unbekannt: Verfahren zum Vorfallmanagement befolgtSicherheits- und Datenschutzvorfälle des Unternehmens werden von der Geschäftsleitung gemäß der Richtlinie und den Verfahren zur Reaktion auf Sicherheitsvorfälle protokolliert, nachverfolgt, behoben und den betroffenen oder relevanten Parteien mitgeteilt.
- Unbekannt: Prozesse für physischen Zugang festgelegtDas Unternehmen verfügt über Prozesse zum Gewähren, Ändern und Entziehen des physischen Zugangs zu Rechenzentren des Unternehmens auf Grundlage einer Autorisierung durch die Kontrollverantwortlichen.
- Unbekannt: Zugang zum Rechenzentrum überprüftDas Unternehmen überprüft den Zugang zu den Rechenzentren mindestens jährlich.
- Unbekannt: Unternehmensverpflichtungen extern kommuniziertDie Sicherheitsverpflichtungen des Unternehmens werden Kunden in Rahmenverträgen (MSA) oder Nutzungsbedingungen (TOS) mitgeteilt.
- Unbekannt: Externe Supportressourcen verfügbarDas Unternehmen stellt Kunden Leitfäden und technische Supportressourcen zum Systembetrieb bereit.
- Unbekannt: Leistungsbeschreibung kommuniziertDas Unternehmen stellt internen und externen Benutzern eine Beschreibung seiner Produkte und Leistungen bereit.
- Unbekannt: Ziele der Risikobewertung festgelegtDas Unternehmen legt seine Ziele fest, damit Risiken in Bezug auf diese Ziele erkannt und bewertet werden können.
- Unbekannt: Risikobewertungen durchgeführtDas Unternehmen führt mindestens jährlich Risikobewertungen durch. Dabei werden Bedrohungen und Veränderungen (umweltbezogen, regulatorisch und technologisch) für die Leistungsverpflichtungen ermittelt und die Risiken formal bewertet. Die Risikobewertung berücksichtigt auch das Betrugspotenzial und wie Betrug das Erreichen der Ziele beeinträchtigen kann.
- Unbekannt: Risikomanagementprogramm festgelegtDas Unternehmen verfügt über ein dokumentiertes Risikomanagementprogramm mit Vorgaben zur Identifizierung potenzieller Bedrohungen, zur Bewertung der Bedeutung der damit verbundenen Risiken und zu Strategien für deren Minderung.
Daten und Datenschutz
- Unbekannt: Verfahren zur Datenaufbewahrung festgelegtDas Unternehmen verfügt über formale Verfahren zur Aufbewahrung und Entsorgung, die die sichere Aufbewahrung und Entsorgung von Unternehmens- und Kundendaten regeln.
- Unbekannt: Kundendaten beim Ausscheiden gelöschtDas Unternehmen löscht oder entfernt Kundendaten mit vertraulichen Informationen nach bewährten Verfahren aus der Anwendungsumgebung, wenn Kunden den Dienst verlassen.
- Unbekannt: Richtlinie zur Datenklassifizierung festgelegtDas Unternehmen verfügt über eine Richtlinie zur Datenklassifizierung, die sicherstellt, dass vertrauliche Daten angemessen geschützt und auf autorisiertes Personal beschränkt sind.
Berichte
Unterauftragsverarbeiter
Daten
Hacktron erhebt personenbezogene Daten von Kunden und Kreditkartendaten. Nicht erhoben werden: Gesundheitsdaten.