Eine geeignete Organisationstruktur für Informationssicherheit ist vorhanden und die Informationssicherheit ist in die organisationsweiten Prozesse und Abläufe integriert
Sicherheitsricht- und -leitlinien sind definiert, von der Geschäftsführung genehmigt und dem Personal kommuniziert
Die Rollen der einzelnen Mitarbeiter im Sicherheitsprozess sind eindeutig festgelegt
Eine regelmäßige Überprüfung der Wirksamkeit der technischen und organisatorischen Maßnahmen ist vorgesehen
Konzepte und Dokumentationen im Sicherheitsumfeld werden regelmäßig überprüft und aktuell gehalten
Einsatz eines geeigneten Informationssicherheitsmanagementsystem (ISMS), nach ISO27001 (noch nicht zertifiziert)
Die Rollen und Verantwortlichkeiten im Bereich der Sicherheit sind im eigenen Betrieb bekannt und besetzt
Vorhandensein von Eskalationsprozessen bei Sicherheitsverletzungen
Konsequente Dokumentation bei Sicherheitsvorkommnissen (Security Reporting)
Einweisung aller Mitarbeitenden im Umgang mit Authentifizierungsverfahren und -mechanismen
Verwendung von starken Passwörtern vorgegeben und Richtlinie dafür verabschiedet
Passwörter dürfen nur in dafür vorgesehenen Passwort Security Applikationen unter Verwendung von Zwei-Faktor-Authentifizierung gespeichert werden (siehe Unterauftragnehmer)
Keine Passwörter per E-Mail übermitteln (z. B. für einen Firmenaccount zu einem Cloud-Dienst)
Soweit möglich soll konsequenter Einsatz von Verfahren zur Zwei-Faktor-Authentifizierung für Administratorkonten bei Anwendungen erfolgen
Es sind keine Administratorkennungen für Nutzer erlaubt, die keine administrativen Tätigkeiten ausführen
Grundsätzlich werden Zugänge zu den verwendeten Cloud Applikationen oder zu Dokumenten nur Account basiert vergeben, so dass nur berechtigte Mitarbeitende Zugang zu Informationen und Daten haben
Zugriffe werden über die Protokollierungsmechanismen der genutzten Cloud-Dienste und Cloud Applikationen protokolliert
Die Log-Dateien bei selbstentwickelten Softwarelösungen werden in den Cloud-Plattformen unter Berücksichtigung aller gängigen Security-Aspekte durchgeführt
Bei der Protokollierung werden datenschutz-/sicherheitsrelevante Aspekte berücksichtigt und von der Protokollierung ausgeschlossen
Relevante Mitarbeiter sind darüber geschult, dass Security-by-Design (Sicherstellung der Vertraulichkeit, Verfügbarkeit und Integrität) als Teilmenge von Data-Protection-By-Design eine gesetzliche Datenschutzanforderung ist und Einfluss auf zentrale Designentscheidungen hat (Produktauswahl, zentral vs. dezentral, Pseudonymisierung, Verschlüsselung, Land eines Dienstleisters, SSL-Zertifikate)
Es findet eine Trennung von Produktivsystem zu Entwicklungs-/Testsystem statt
Der Zugang zum Source-Code bei der Entwicklung von Software ist beschränkt
Der Zugang zu Test/Produktivsystemen ist beschränkt
Es werden keine personenbezogenen Daten oder Zugangsdaten in der Source-Code-Verwaltung abgelegt
System- und Sicherheitstests, wie z. B. Code-Scan und Penetrationstests, sollten durchgeführt werden
Ausreichende Testzyklen werden berücksichtigt
Fortlaufendes Inventarisieren der Versionen von Software oder Komponenten (z. B. Frameworks, Bibliotheken) sowie deren Abhängigkeiten ist gegeben
Standardsoftware und entsprechende Updates werden nur aus vertrauenswürdigen Quellen bezogen
Sicherstellung, dass ein fortlaufender Plan zur Überwachung, Bewertung und Anwendung von Updates oder Konfigurationsänderungen für die gesamte Lebenszeit einer Software-anwendung besteht