Dies ist ein Entwurf. Jeder Abschnitt bietet ein Beispiel: Ersetzen Sie jedes [Feld] durch das, was bei Ihnen zutrifft, und streichen Sie den Rest. Die Veröffentlichung bedeutet nicht, dass die Praxis existiert, und Squaretrust prüft das nicht.
Risikoanalyse und Sicherheitsrichtlinien
Was der Kunde prüft: dass Sie Ihre wichtigsten Risiken kennen und schriftliche Sicherheitsregeln haben.
Beispiel zum AnpassenWir haben eine Informationssicherheitsrichtlinie, genehmigt von [Funktion] und jedes [Jahr] überprüft. Eine Risikoanalyse, aktualisiert am [TT.MM.JJJJ], nennt unsere [x] wichtigsten Risiken, ihre Wahrscheinlichkeit, ihre Auswirkung und die gewählte Maßnahme. [Funktion] ist dafür verantwortlich.
Beizufügen: die Sicherheitsrichtlinie (öffentlich oder auf Anfrage); die Risikoanalyse (auf Anfrage).
Behandlung von Vorfällen
Was der Kunde prüft: dass Sie einen Vorfall erkennen, behandeln und Ihren Kunden rechtzeitig informieren können.
Beispiel zum AnpassenWarnungen aus [Überwachungstools] und Meldungen des Personals gehen an [Adresse oder Kanal]. [Funktion] bewertet den Vorfall innerhalb von [x Stunden] und entscheidet über die Maßnahmen. Sind Daten oder Dienst eines Kunden betroffen, informieren wir ihn innerhalb von [24 Stunden] an der im Vertrag genannten Adresse. Jeder Vorfall wird mit Ursache und Korrekturmaßnahmen dokumentiert.
Beizufügen: das Verfahren zur Behandlung von Vorfällen (auf Anfrage).
Kontinuität, Sicherungen und Krisenmanagement
Was der Kunde prüft: dass Sie den Dienst nach einem Vorfall wiederherstellen können, und wie schnell.
Beispiel zum AnpassenWir sichern [Datenbanken und Kundendateien] jeden [Tag] zu [Anbieter, Region]. Die Backups sind verschlüsselt und werden [30 Tage] aufbewahrt. Wir testen [zweimal im Jahr] eine vollständige Wiederherstellung; der letzte Test war am [TT.MM.JJJJ] und dauerte [x Stunden]. Bei einem schweren Vorfall entscheidet [Funktion] über die Aktivierung des Wiederherstellungsplans und informiert die betroffenen Kunden innerhalb von [24 Stunden].
Beizufügen: die Backup-Richtlinie (öffentlich); der Wiederherstellungsplan und der Bericht des letzten Tests (auf Anfrage).
Lieferanten und die Lieferkette
Was der Kunde prüft: dass Sie Ihre eigenen Lieferanten kennen und sie nach Sicherheitskriterien auswählen.
Beispiel zum AnpassenWir führen eine Liste unserer Unterauftragsverarbeiter mit Zweck und Verarbeitungsregion. Bevor wir einen neuen auswählen, prüfen wir [Zertifizierungen, Auftragsverarbeitungsvertrag, Standort]. Jeder Unterauftragsverarbeiter, der personenbezogene Daten verarbeitet, ist an einen Vertrag nach Artikel 28 DSGVO gebunden. Wir informieren unsere Kunden [x Tage], bevor wir einen hinzufügen oder ersetzen.
Beizufügen: die Liste der Unterauftragsverarbeiter (öffentlich).
Aufbau und Pflege von Systemen, einschließlich Schwachstellen
Was der Kunde prüft: dass Ihre Systeme aktuell gehalten und Lücken geschlossen werden.
Beispiel zum AnpassenWir spielen Sicherheitspatches innerhalb von [x Tagen] für kritische Schwachstellen und innerhalb von [x Tagen] für die übrigen ein. Code wird vor jeder Veröffentlichung geprüft, und unsere Abhängigkeiten werden von [Tool] gescannt. Jeder kann uns eine Schwachstelle an [Adresse] melden; wir bestätigen den Eingang innerhalb von [x Arbeitstagen].
Beizufügen: die Richtlinie zum Umgang mit Schwachstellen (öffentlich oder auf Anfrage).
Wie Sie prüfen, dass die Maßnahmen wirken
Was der Kunde prüft: dass Sie regelmäßig prüfen, ob Ihre Maßnahmen wirken, statt es anzunehmen.
Beispiel zum AnpassenWir überprüfen unsere Sicherheitsmaßnahmen jedes [Jahr] mit [Funktion]. Ein Penetrationstest wird alle [x Monate] von [Anbieter] durchgeführt; der letzte war am [TT.MM.JJJJ], und seine kritischen Befunde wurden am [TT.MM.JJJJ] behoben. Zugriffsrechte werden jedes [Quartal] überprüft.
Beizufügen: die Zusammenfassung des letzten Penetrationstests (auf Anfrage).
Grundhygiene und Schulung
Was der Kunde prüft: dass die Grundregeln angewendet werden und das Personal darin geschult ist.
Beispiel zum AnpassenLaptops und Server erhalten Updates [automatisch]. Passwörter liegen in [Passwortmanager], und Multi-Faktor-Authentifizierung ist auf [Tools] Pflicht. Jede neue Person durchläuft eine Sicherheitsschulung, die jedes [Jahr] wiederholt wird, mit einer [jährlichen] Phishing-Übung.
Beizufügen: die IT-Richtlinie oder internen Regeln (auf Anfrage).
Kryptografie
Was der Kunde prüft: dass Daten dort verschlüsselt sind, wo es nötig ist.
Beispiel zum AnpassenDaten sind bei der Übertragung (TLS [1.2] oder höher) und im Ruhezustand verschlüsselt ([AES-256], Schlüssel verwaltet von [Anbieter oder Dienst]). Die Festplatten der Laptops sind verschlüsselt, ebenso die Backups.
Beizufügen: die Verschlüsselungsrichtlinie, wenn der Kunde sie verlangt (auf Anfrage).
Personen, Zugriff und Werte
Was der Kunde prüft: dass nur die richtigen Personen auf die richtigen Systeme zugreifen und Sie wissen, was Sie besitzen.
Beispiel zum AnpassenZugriffe werden nach Rolle von [Funktion] vergeben und am Tag des Ausscheidens einer Person entzogen. Administratorrechte sind auf [x] Personen beschränkt. Wir führen ein Inventar unserer Laptops, Server und Online-Dienste, das jedes [Quartal] aktualisiert wird. Jede Person unterzeichnet [eine Vertraulichkeitsklausel].
Beizufügen: die Richtlinie zur Zugriffsverwaltung (auf Anfrage).
Authentifizierung und gesicherte Kommunikation
Was der Kunde prüft: dass der Zugang zu wichtigen Systemen mehr als ein Passwort erfordert und Ihre Kommunikation geschützt ist.
Beispiel zum AnpassenMulti-Faktor-Authentifizierung ist Pflicht für [E-Mail, Hosting, Quellcode, Administrationstools]. Die interne Kommunikation läuft über [Tool], und wir haben einen Notfallkanal, [Telefon oder Kanal], falls die E-Mail ausfällt.