Technische und organisatorische Maßnahmen

Abschließbare, getrennte Räumlichkeiten für Server und Büroräume in denen personenbezogene Daten verarbeitet werden können.

X

-

-

In den Unternehmensräumlichkeiten werden keine Server eingesetzt.

Zentraler Empfangsbereich.

X

X

X

Alarmanalage mit aufgeschaltetem Wachschutz.

X

X

X

Zugänge zu Büros und Server sind durch Alarmanalage gesichert.

zentrales Zutrittskontrollsystem elektronisch verwaltet.

X

X

X

Codierte Schlüssel (Token/Transponder) und Schlüsselausgabe nur an Befugte mit Zutrittskontrollsystem.

X

X

X

Protokollierung von Schließungen.

X

X

X

Im Unternehmen ist der Zutritt zu den Serverräumen auf den minimal benötigten Personenkreis beschränkt.

X

-

-

Keine Server in Unternehmensräumlichkeiten.

Festlegung und Dokumentation der Zutrittsberechtigungen.

X

X

X

Dokumentation Zutritt Firmenfremde im Besucherbuch (z.B. Wartungspersonal, Kunden, Dienstleister, Partner, Besucher ...).

X

X

X

Betreten der Räumlichkeiten durch Firmenfremde nur in Begleitung eines Mitarbeiters.

X

X

X

Legitimation der Zutrittsberechtigten (Schlüssel, PinCode).

X

X

X

Zwei-Faktor-Authentifizierung beim Zutritt.

X

-

-

Rücknahme von Zugangsmitteln nach Ablauf der Berechtigung.

X

X

X

Im Unternehmen wird dafür gesorgt, dass personenbezogene Daten in Bereichen mit Publikumsverkehr nicht frei zugänglich sind.

X

X

X

Im Unternehmen verfügen tragbare Endgeräte über Zugangssperren (Passwort, PIN, Muster o. A.).

X

X

X

Einrichtung eines Benutzerkontos pro Nutzer (Protokollierung)

X

X

X

Zugangsdaten sind nur berechtigten Mitarbeitern zugänglich.

Automatisiertes Logging der Zugänge (Profile) im Adminbereich (Superadmin) sowie bei Zugang zu den Servern.

Zwei-Faktor-Authentifizierung beim Zugang zu Benutzerkonten (Richtlinie/ Arbeitsanweisung).

X

X

X

Authentifikation der mit der Datenverarbeitung befugten Personen durch ein Kennwortverfahren (Single Sign-On Verfahren).

X

X

X

Im Unternehmen werden ausreichend komplexe Passwörter und PINs, für die Nutzung von tragbaren Endgeräten gefordert.

X

X

X

Passwort-Manager (Enpass, Logpass).

Verschlüsselte Speicherung von Passwörtern.

X

X

X

Automatische Sperrung des Benutzerkontos bei mehrfacher fehlerhafter Eingabe der Zugangsdaten.

X

X

X

Automatische Sperrung des Arbeitsplatzes bei Inaktivität.

X

X

X

Umgehende Sperrung von Berechtigungen beim Ausscheiden von Mitarbeitern (Richtlinie/ Arbeitsanweisung).

X

X

X

Regelmäßige Kontrolle der Gültigkeit von Berechtigungen (bei Beginn eines Arbeitsverältnis).

X

X

X

Nutzung von abschließbaren Schränken zur Aufbewahrung von Papierakten.

-

-

X

keine Papieraktenlagerung in RZ und M.

Gesicherte Übertragung von Daten (Credentials) im Netzwerk mittels SSL, TLS/HTTPS, SSH, S/MIME, VPN (IPSec, openVPN).

X

X

X

Encryption at rest.

Betrieb eines Office-Gäste-WLANs für mobile Endgeräte und Besucher.

-

X

X

Im Unternehmen wurden Regelungen und Kontrollen hinsichtlich Fernwartung definiert.

X

X

X

Fernwartung ist nach unserem Berechtigungskonzept nur einem geschlossenen Personenkreis mit Authentifizierung und gesicherten Zugang (VPN, Verschlüsselung) möglich.

Fernwartung/Fernzugriffe werden protokolliert durch automatisiertes Logging.

X

X

X

Möglichkeit zur Fernschlösung von Geräten durch Mobile Device Management. Eine Richtline zum Umgang mit Datenträgern wird den Mitarbeitern im Rahmen von Datenschutzschulungen mitgeteilt.

X

X

X

Im Unternehmen sind die Beschäftigten verpflichtet worden, personenbezogene Daten bei Verlassen des Arbeitsplatzes verschlossen zu lagern (sog. Clean-Desk-Policy).

X

X

X

Festlegung von Zugriffsberechtigungen für den Zugriff auf Daten (Erstellung eines Berechtigungskonzeptes).

X

X

X

Es erfolgt eine vorübergehende Sperrung von Zugangs- und Zugriffsberechtigungen bei längeren Abwesenheiten.

X

X

X

Speicherung der Daten auf verschlüsselten Datenträgern (Richtlinie/ Arbeitsanweisung).

X

X

X

Es werden keine mobilen Datenträger verwendet (wie USBs, CDs)

AES-XTS, AES-128; ESET Endpoint Security

Festlegung von Befugnissen zur Kenntnis, Eingabe, Veränderung und Löschung von Daten, die im Rahmen der Auftragserfüllung durch den Auftragnehmer verarbeitet werden.

X

X

X

Regelmäßige Kontrolle von Zugriffen, zugelassenene Benutzer, angelegte Benutzergruppen sowie die Rechteprofile.

X

X

X

Um die Mitarbeiter auf die Wichtigkeit des Datenschutzes hinzuweisen und diese gemäß den Erfordernissen zu verpflichten, werden Schulungen aller zugriffsberechtigten Beschäftigten durchgeführt.

X

X

X

Regelmäßige Schulungen

Entsorgung nicht mehr benötigter Datenträger durch externen Dienstleister (Richtlinie/ Arbeitsanweisung).

X

-

-

Dienstleister besitzt die Zertifizierung DIN 66399

Schriftliche Regelung zum Kopieren von Daten (IT Sicherheitsrichtlinie/ Arbeitsanweisung).

X

X

X

Vergabe minimaler Berechtigungen (Need-to-know-Prinzip).

X

X

X

Auf Antrag personenbezogene Daten sperren und löschen.

X

X

X

Keine Vergabe von generischen Passwörtern, Gruppenkennungen.

X

-

-

Nutzung von Test-Accounts, Zugangsdaten sind nur berechtigten Mitarbeitern zugänglich.

Vermeidung der Konzentration von Funktionen/ Funktionstrennung von Administratorentätigkeiten auf unterschiedliche qualifizierte Personen.

X

X

X

Es wird sichergestellt, dass IT-Administratoren über ausreichende Qualifikation zur Ausübung ihrer Tätigkeit besitzen.

Im Unternehmen wurde für alle IT-Systeme und IT-Netze Administratoren sowie deren Stellvertreter bestimmt.

X

X

X

Administratorenkonten auf Ebenen (Datenbank, Betriebssystem, Applikation, Netzwerk).

Es wird keine unverschlüsselte Passwortliste geführt.

X

X

X

Führen einer Historie durchgeführter administrativer Änderungen. Vergabe sowie der Entzug von Zugangs- und Zugriffsberechtigungen für IT-Systeme wird digital dokumentiert.

X

X

-

die Dokumentation der zugelassenen Benutzer, Benutzergruppen und Rechteprofile vor unbefugtem Zugriff geschützt.

X

X

X

Zugriff zur Fernwartung auf die Produktionsinfrastruktur über VPN .

X

X

X

VPN-Tunnel Endpunkt ist platziert in der Firewall.

Es werden eine bzw. mehrere Firewalls gegen unerwünschte Netzwerke eingesetzt (UniFi).

X

X

X

Kennzeichnung der erfassten Daten (Aktenzeichen, ID, Kunden/ Vorgangsnummer).

X

X

X

Logische Trennung der für unterschiedliche Auftraggeber verarbeiteten Daten Funktionstrennung/ Produktion/ Test.

X

X

X

Trennung zwischen Produktiv-, Test-, und Entwicklungsumgebungen inkl. der Datenbanken.

Logische Trennung der personenbezogenen Daten der jeweiligen Auftraggeber durch Zuordnung zu den jeweiligen Benutzer-Accounts .

X

X

X

Softwareseitige Trennung der Mandanten.

Getrennte Arbeitsplätze zur Verarbeitung besonderer Kategorien personenbezogener Daten räumlich von anderen Arbeitsplätzen.

X

X

X

Es wird für die elektronischen Datenträger ein Bestandsverzeichnis geführt (Laptops, Mobiltelefone, Tabletcomputer).

X

X

X

Festlegung der zur Übermittlung bzw. den Transport (elektronisch, manuell) befugten Personen.

X

X

X

Es werden zum Versand von Emails digitale Signaturen eingesetzt.

X

X

X

Prüfung der Daten auf Vollständigkeit nach Datentransport, -übertragung und Datenübermittlung oder -speicherung.

X

X

X

Manueller Abgleich mit Checksummen.

Daten werden bei der Übertragung mit  SSL/TLS; S/MIME verschlüsselt.

X

X

X

Implementation von Sicherheitsgateways an den Netzübergabepunkten.

X

X

X

Ein- und ausgehende Datenströme werden durch eine moderne, kaskadiert aufgebaute Firewall-Lösung gefiltert (UniFi).

X

X

X

Alle relevanten Systeme verfügen über ausreichende Schutz- und Erkennungsmechanismen für Schadsoftware.

X

X

X

ESET endpoint security malware protection.

Soweit Datenträger durch Transportunternehmen übermittelt werden, werden die Datenträger nur nach vorheriger Authentisierung des Transportunternehmens weitergegeben.

X

X

X

Papier- und Datenträger mit personenbezogenen Daten werden durch ein qualifiziertes Entsorgungsunternehmen datenschutzgerecht entsorgt (Festplatten, Akten).

X

X

X

Die vollständige, datenschutzgerechte und dauerhafte Löschung von Datenträgern mit personenbezogenen Daten wird protokolliert. Die Protokolle werden mindestens 12 Monate revisionssicher aufbewahrt.

X

X

X

An Arbeitsplätzen stehen verschließbare Behältnisse zur Verfügung, um Unterlagen und Datenträger sicher aufzubewahren.

X

X

X

Tragbare Endgeräte werde  außerhalb der Nutzungszeiten gegen Diebstahl gesichert.

X

X

X

Benutzer von tragbaren Endgeräten warden auf die Einhaltung einer geeigneten Aufbewahrung verpflichtet.

X

X

X

Es existiert eine aktuelle Verwendung-

und Sicherheitsrichtlinie für tragbare Endgeräte, in der alle umzusetzenden Sicherheitsmechanismen beschrieben sind.

X

X

X

Sämtliche unternehmenseigene Gegenstände mit Bezug zu personenbezogenen Daten werden von einer ausscheidenden Person zurückgefordert.

X

X

X

Verhindern, dass Unbefugte Zugriff auf Betriebssysteme erhalten durch Endgeräte Passwörter.

X

X

X

Passwörter, welche in der Vergangenheit bereits verwendet wurden, nicht erneut verwendet werden. Länge von mindestens 8 Zeichen.

Zur Verbindung mit dem Telekommunikationsprovider wird eine reguläre DSL/Glasfaserverbindung verwendet.

X

X

Es existiert ein IT-Sicherheitskonzept (ISMS), welches die grundlegenden technischen und organisatorischen Maßnahmen darstellt, die im Unternehmen zur Gewährleistung von Datenschutz und Datensicherheit getroffen werden.

X

X

X

Siehe Definition Informationssicherheitsmanagementsystems „ISMS“

Verarbeitungen von personenbezogenen Daten werden protokolliert.

X

X

X

Dokumentation der Zugriffsberechtigungen (Arbeitsanweisung Zugriffsgruppen und Zugriffsberechtigung).

X

X

X

Erfassung der Tätigkeiten im Rahmen des Auftrags.

X

X

X

Vorhaltung einer Historie für alle Nutzer, welche die entsprechenden Anwendungsprogramme zur Verarbeitung der personenbezogenen Daten nutzen, die erfasst, welcher Nutzer wann welche Aktion ausgeführt hat, sofern diese Aktion persönliche Daten modifiziert.

X

X

X

Erfassung der Historie in der Anwendung „Just Hire“

Unterbrechungsfreie Stromversorgung (USV).

X

-

-

Die unterbrechungsfreie Stromversorgung kann 2 Stunden überbrücken.

Virenschutz (auf den Arbeitsplätzen).

X

X

X

Virenschutz auf Windows & Mac Arbeitsplätzen.

Virenschutz (auf den Servern).

X

X

X

Es werden auch verschlüsselte Daten auf Schadsoftware überprüft.

X

X

X

Es wird ein TLS/SSL Scanner eingesetzt, um auch verschlüsselte Datenpakete auf Schadsoftware zu überprüfen.

X

X

X

TLS Scanner (Eset)

Firewall

X

X

X

Es werden eine bzw. mehrere Firewalls gegen unerwünschte Netzwerkzugriffe eingesetz: cisco, meraki MX400 (intern); via AWS (extern). ESET endpoint security firewall.

Notfallplan

X

X

X

Kritische Systeme und ggf. die Infrastruktur redundant ausgelegt.

X

X

X

Georedundante Rechenzentren.

X

-

-

Keine Server in M, B

Zentrale Brandmeldeanlage.

X

X

X

Gefahrenabsicherung für Überhitzung, Serverrack, Feuer.

Verfügbarkeitsüberwachung (Monitoring).

X

X

X

24/7-Überwachung aller kritischen Systeme durch automatisierte Monitoring-Verfahren durch Software (cisco, meraki MX400 (intern) für das Netzwerk).

Es wird ein Archivierungskonzept definiert, welches regelt, wie und wie lange Dokumente archiviert werden.

X

X

X

Es liegt eine gesetzliche Aufbewahrungspflicht für die archivierten Dokumente vor.

Backup-Verfahren gem. Backupkonzept (täglich, wöchentlich, monatlich).

X

-

-

Keine Server in M, B. Sicherungen durchgeführt: Eigenständige Backups (z. B. durch NAS-System) Dienstleister, Cloud-Anbieter.

Aufbewahrung der Backup-Daten in Datensicherungsschränken, Tresoren, in anderem Brandabschnitt.

X

-

-

Keine Server in M, B.

Eingesetzte Sicherungsarten: Speicherabbildsicherung (Image Backup), Inkrementelle Sicherung, Komplett-/Vollsicherung.

Disaster Recovery Plan definiert, um im Notfall mit geeigneten, beschriebenen Maßnahmen den Geschäftsbetrieb rasch wiederherstellen zu können.

X

X

X

Im Unternehmen gibt es ein Berechtigungskonzept für Notfallsituationen.

RAID Level eingesetzt - RAID 5, RAID 10

X

X

Wiederherstellbarketi der Daten ist gegeben.

X

X

X

Folgende Bereiche können wiederhergestellt werden: Nutzerdaten, Systemdateien- und Datencontainer, Log-Daten, Benutzerkonten, Konfigurationen (Einstellungen und Freigaben).

Virtualisierung und Betrieb in Container-Infrastruktur mit Loadbalancern.

X

-

-

Regelmäßige Penetrationstests der absence.io-Produkte auf Sicherheitsschwachstellen.

X

-

-

Getestet werden die absence.io-Produkte in der Umgebung der Rechenzentren. Nicht anwendbar in der Umgebung der Büroräume.

Penetrationstests durch Kunden können und werden nach Rücksprache mit absence.io auf durchgeführt.

Regelmäßige Bewertung des Datenschutzniveaus durch ein Datenschutzteam

X

X

X

Unterrichtung und Verpflichtung von Beschäftigten auf Beachtung der datenschutzrechtlichen Anforderungen nach der DSGVO. Regelmäßige Schulung aller zugriffsberechtigten Beschäftigten.

X

X

X

• Information der Mitarbeiter über Neuerungen zum Thema Datenschutz
• Verpflichtung der Beschäftigten zu Verhaltensregeln
• Unternehmensinterne Datenschutz-Richtlinien
• Verpflichtung der Beschäftigten auf das Datengeheimnis.

Dritte müssen eine Verschwiegenheitserklärung abgeben.

X

X

X

Wenn aus organisatorischen Gründen Funktionsüberschneidungen bestehen, wird das Vier-Augen-Prinzip angewendet und dokumentiert.

-

X

X

Es existiert eine definierte Vertreterregelung innerhalb der Funktionsgruppen.

-

X

X

Regelmäßige Überprüfung des Datenschutz- und Informationssicherheitsmanagementsystems (Aktualität der technischen und organisatorischen Maßnahmen) durch interne und externe Audits.

X

X

X

Durchführung einer Risikoanalyse für die Verarbeitungen personenbezogener Daten.

X

X

X

Erstellung von Schutzbedarfskategorien.

X

X

X

Ausrichtung der Prozesse nach Privacy by Design und Privacy Default.

-

X

X

Durchführung von Datenschutz-Folgenabschätzungen (soweit gesetzlich vorgeschrieben).

X

X

X

Eindeutige Vertragsgestaltung mit Unterauftragnehmern, Abschluss mit allen Dienstleistern über einen Auftragsverarbeitungsvertrag.

X

X

X

Regelmäßige Kontrolle der Tätigkeiten.

X

X

X

Überwachung der absence.io-Prozesse durch interne Audits.

Die Weisungsberechtigten des Auftraggebers und die zur Entgegennahme von Weisungen befugten Personen sind vertraglich definiert, Weisungen erfolgen immer in Textform (z.B. per E-Mail oder Ticketsystem).

X

X

X

Weisungen zur Verarbeitung personenbezogener Daten werden ausschließlich schriftlich an Auftragsverarbeiter erteilt.

X

X

X

Formalisierung der Auftragserteilung (Formularwesen).

X

X

X

Es werden Kriterien (z.B. Referenzen, Zertifizierungen, o. Ä.) zur Auswahl von externen Dienstleistern schriftlich definiert.

X

X

X

Zertifizierungen, Referenzen, Verpflichtung auf SLAs, Ownership und Verantwortlichkeiten, Vorteile / Nachteile der Nutzung, Scope, Standorte, Subdienstleister (Need to know principle).

absence.io informiert den Auftraggeber unverzüglich über Fälle von schwerwiegenden Betriebsstörungen, bei Verdacht auf Datenschutzverletzungen, wenn Fehler festgestellt werden oder andere Unregelmäßigkeiten beim Umgang mit Daten des Auftraggebers.

X

X

X

Aufträge werden als Support-Ticket (Mindestangaben: Auftraggeber/ Kunde, Aktion/ Teilauftrag, genaue Spezifikation der Verarbeitungsschritte/-parameter, Bearbeiter, Termine, ggf. Empfänger) erfasst, dort werden die durchgeführten Arbeiten dokumentiert. Es gibt eine eindeutige Zuordnung zwischen Support-Ticketnummer und Kundenauftrag.

X

X

X

Es wurde für alle IT-Systeme und IT-Netze Administratoren sowie deren Stellvertreter bestimmt.

X

X

X

Die Administratorenkonten werden auf der Ebenen der Datenbank, Applikation und Netzwerk eingesetzt.

X

X

X

Berechtigungskonzept (Freigabe zu Applikationen, Regelmäßige Überprüfung der Freigaben).

Es werden spezielle Administratorenkonten eingesetzt.

X

X

X

Es wird sichergestellt, dass sämtliche unternehmenseigene Gegenstände mit Bezug zu personenbezogenen Daten von einer ausscheidenden Person zurückgefordert werden.

X

X

X

Um die Mitarbeiter auf die Wichtigkeit des Datenschutzes hinzuweisen und diese gemäß den Erfordernissen zu verpflichten, werden folgende Maßnahmen getroffen: - Schulung aller zugriffsberechtigten Beschäftigten.

X

X

X

Im Unternehmen finden regelmäßig Schulungen zum Thema Datenschutz statt.

X

X

X

Telearbeiter wurden auf die Einhaltung einschlägiger Datenschutzvorschriften hingewiesen.

X

X

X

Es besteht die Möglichkeit auf Antrag personenbezogene Daten zu sperren und zu löschen.

X

X

X

Es wird eine automatische Bildschirmsperre eingesetzt.

X

X

X

(diese wird nach maximal 10 Minuten aktiviert)

Die Beschäftigten sind angehalten personenbezogene Daten fachgerecht zu entsorgen.

X

X

X

Es wird keine unverschlüsselte Passwortliste geführt.

X

X

X

Es sind kritische Systeme und ggf. die Infrastruktur redundant ausgelegt.

X

X

X

Es wird eine Software zur Überwachung des Netzwerks bzw. der Anwendungen verwendet.

X

X

X

Papertrail, Newrelic