## 1. Zweck und Rechtsgrundlage
Diese Policy legt die verbindlichen technischen und organisatorischen Massnahmen (ToM) der DE SIGNO GmbH zum Schutz von Informationen, IT-Systemen und personenbezogenen Daten fest. Sie dient der Gewaehrleistung eines dem Risiko angemessenen Schutzniveaus gemaess Art. 32 DSGVO sowie der Umsetzung der Grundsaetze aus Art. 5 Abs. 1 lit. f DSGVO.
Die Massnahmen sind so auszugestalten und anzuwenden, dass insbesondere Vertraulichkeit, Integritaet, Verfuegbarkeit und Belastbarkeit der Systeme und Dienste dauerhaft sichergestellt werden.
## 2. Geltungsbereich
Diese Policy gilt fuer alle Mitarbeitenden, Geschaeftsfuehrenden, Auftragnehmenden und sonstigen Personen, die im Auftrag der DE SIGNO GmbH Informationen verarbeiten oder Zugriff auf deren IT-Systeme, Kundensysteme oder Arbeitsmittel erhalten.
Sie gilt fuer alle Verarbeitungen personenbezogener Daten sowie fuer alle Informationswerte unabhaengig von Format, Speicherort und Verarbeitungsumgebung. Dazu gehoeren insbesondere Cloud-Infrastruktur, Endgeraete, Anwendungen, Entwicklungs-, Test- und Produktivumgebungen sowie physische Unterlagen und Datentraeger.
## 3. Grundsaetze
* Sicherheitsmassnahmen richten sich nach Schutzbedarf, Eintrittswahrscheinlichkeit und moeglichem Schadensausmass.
* Berechtigungen werden nach dem Need-to-know- und Least-Privilege-Prinzip vergeben.
* Personenbezogene Daten werden nur fuer festgelegte, erforderliche und rechtmaessige Zwecke verarbeitet.
* Produktiv-, Test- und Entwicklungsumgebungen sind getrennt zu betreiben.
* Sicherheitsrelevante Vorgaenge, Entscheidungen und Kontrollen sind nachvollziehbar zu dokumentieren.
* Abweichungen von dieser Policy sind nur nach dem Verfahren in Abschnitt 10 zulaessig.
## 4. Verantwortlichkeiten
| Rolle | Verantwortlichkeit |
| ------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------- |
| Geschaeftsleitung | Freigabe, Durchsetzung und mindestens jaehrliche Ueberpruefung dieser Policy; Bereitstellung angemessener Ressourcen |
| IT-Verantwortliche | Umsetzung und Betrieb technischer Schutzmassnahmen, Berechtigungsverwaltung, Patch-, Backup-, Schwachstellen- und Incident-Management |
| Fachverantwortliche | Beantragung und regelmaessige Pruefung erforderlicher Berechtigungen sowie Einhaltung der Datenminimierung |
| Mitarbeitende und Auftragnehmende | Einhaltung dieser Policy, Schutz von Zugangsdaten und unverzuegliche Meldung von Sicherheitsereignissen |
| Auftragsverarbeiter und Dienstleister | Vertragliche Einhaltung angemessener Sicherheits- und Datenschutzanforderungen |
## 5. Massnahmen zur Gewaehrleistung der Vertraulichkeit
### 5.1 Zutrittskontrolle
* Raeume, Systeme und Datentraeger mit schutzbeduerftigen Informationen sind gegen unbefugten physischen Zugriff zu schuetzen.
* Dienstgeraete sind beim Verlassen des Arbeitsplatzes manuell zu sperren und nach spaetestens fuenf Minuten Inaktivitaet automatisch zu sperren.
* Vertrauliche Unterlagen und Datentraeger duerfen nicht unbeaufsichtigt offen liegen bleiben.
* Die physische Sicherheit der genutzten Rechenzentrumsinfrastruktur ist durch geeignete vertragliche und technische Massnahmen des Hosting-Anbieters abzusichern.
### 5.2 Zugangs- und Zugriffskontrolle
* Benutzerkonten muessen eindeutig einer natuerlichen Person zugeordnet sein; gemeinsam genutzte Konten sind unzulaessig.
* Passwoerter duerfen nicht weitergegeben, unverschluesselt gespeichert oder in Quellcode, Skripten oder Repositories hinterlegt werden.
* Fuer administrative und internet-erreichbare Zugriffe ist Mehr-Faktor-Authentifizierung verpflichtend, soweit technisch moeglich.
* Administrative Konten sind getrennt von Standardkonten zu verwenden, auf das notwendige Mass zu beschraenken und zu protokollieren.
* Service-Konten sind zweckgebunden, dokumentiert, minimal berechtigt und einer verantwortlichen Person zugeordnet.
* Berechtigungen sind bei Eintritt, Aufgabenwechsel und Austritt unverzueglich anzupassen oder zu entziehen und mindestens jaehrlich zu ueberpruefen.
### 5.3 Weitergabe- und Transportkontrolle
* Schutzbeduerftige Informationen duerfen nur an berechtigte Empfaenger uebermittelt werden.
* Die Uebertragung schutzbeduerftiger Daten erfolgt ausschliesslich ueber verschluesselte, dem Stand der Technik entsprechende Verfahren, insbesondere TLS/HTTPS, SSH oder SFTP.
* Fernzugriffe auf Kundensysteme erfolgen nur mit persoenlichem Konto, MFA, verschluesselter Verbindung und ueber einen abgesicherten Zugangspunkt.
* Temporaere Zugriffsrechte Dritter sind zeitlich zu begrenzen und spaetestens nach 14 Tagen zu pruefen, anzupassen oder zu entziehen.
### 5.4 Verschluesselung und Schluesselmanagement
* Personenbezogene und sonstige schutzbeduerftige Daten sind bei Speicherung und Uebertragung entsprechend ihrem Schutzniveau zu verschluesseln.
* Kryptographische Verfahren und Konfigurationen muessen dem aktuellen Stand der Technik entsprechen und regelmaessig ueberprueft werden.
* Authentifizierungsmerkmale und kryptographische Schluessel sind vertraulich zu behandeln und gegen unbefugten Zugriff zu schuetzen.
### 5.5 Datenminimierung, Trennung und Loeschung
* Es duerfen nur die fuer die jeweilige Aufgabe erforderlichen Daten verarbeitet werden.
* Produktivdaten duerfen in Test-, Schulungs- und Entwicklungsumgebungen nicht verwendet werden; stattdessen sind synthetische oder anonymisierte Testdaten einzusetzen.
* Daten und Datentraeger sind nach Ablauf von Aufbewahrungsfristen oder Wegfall des Zwecks nicht wiederherstellbar zu loeschen bzw. sicher zu vernichten.
* Die sichere Entsorgung richtet sich mindestens nach DIN 66399 Schutzklasse 2 oder einem gleichwertigen Verfahren.
## 6. Massnahmen zur Gewaehrleistung der Integritaet
* Systeme sind vor Inbetriebnahme zu haerten und in einer Minimalkonfiguration zu betreiben; nicht benoetigte Dienste, Schnittstellen und Funktionen sind zu deaktivieren.
* Software und Updates duerfen nur aus vertrauenswuerdigen Quellen bezogen und durch autorisierte Personen installiert werden.
* Sicherheitsupdates und Patches sind regelmaessig zu bewerten, priorisiert zu testen und zeitnah einzuspielen. Fuer nicht kurzfristig behebbare Schwachstellen sind kompensierende Massnahmen festzulegen.
* Sicherheitsrelevante Aenderungen unterliegen einem dokumentierten Genehmigungs- und Change-Management. Wesentliche Aenderungen sind nach dem Vier-Augen-Prinzip zu kontrollieren.
* Sicherheitsrelevante Protokolle sind vor unbefugter Veraenderung zu schuetzen, auswertbar aufzubewahren und regelmaessig auszuwerten.
* Quellcode, Build-Prozesse und Deployment-Pipelines sind gegen unbefugte Aenderungen abzusichern und nachvollziehbar zu verwalten.
## 7. Massnahmen zur Gewaehrleistung von Verfuegbarkeit und Belastbarkeit
* Netzwerkdienste sind durch Firewalls und die Beschraenkung nicht benoetigter Ports und Dienste abzusichern.
* Bei erhoehtem Schutzbedarf sind zusaetzliche Massnahmen wie DDoS-Schutz, IDS/IPS oder Web Application Firewalls einzusetzen.
* Systeme sind gegen Schadsoftware zu schuetzen. Schutzsoftware, Signaturen und Scans sind angemessen aktuell zu halten.
* Kapazitaeten und Systemzustand sind zu ueberwachen; bei absehbaren Engpaessen sind rechtzeitig Massnahmen zur Erweiterung oder Entlastung einzuleiten.
* Fuer produktive Systeme sind dokumentierte Backup- und Wiederherstellungsverfahren nach dem Mehrgenerationen-Prinzip vorzuhalten.
* Die Wiederherstellbarkeit und Konsistenz von Sicherungen ist regelmaessig zu testen und nachweisbar zu dokumentieren.
* Bei ungeplanten Ausfaellen sind betroffene Kunden unverzueglich zu informieren und nach Wiederherstellung angemessen ueber Ursache und Massnahmen zu unterrichten.
## 8. Verfahren zur Wiederherstellung und zum Umgang mit Sicherheitsvorfaellen
* Sicherheitsvorfaelle und Schwachstellen sind unverzueglich an die interne Meldestelle zu melden und nachvollziehbar zu dokumentieren.
* Betroffene Systeme duerfen nur nach abgestimmter Bewertung isoliert, bereinigt oder wiederhergestellt werden; Beweise und Protokolle sind zu sichern.
* Vorfaelle sind nach Kritikalitaet zu bewerten. Eindammung, Ursachenanalyse, Wiederherstellung, Kommunikation und Nachbereitung sind zu dokumentieren.
* Bei einem Kunden betreffenden Sicherheitsvorfall erfolgt die Information des Auftraggebers spaetestens innerhalb von 24 Stunden nach Entdeckung; Schwachstellen werden innerhalb von 48 Stunden nach Entdeckung mitgeteilt.
* Datenschutzverletzungen werden durch die Verantwortlichen auf eine Meldepflicht nach Art. 33 und Art. 34 DSGVO bewertet. Erforderliche Meldungen an die Aufsichtsbehoerde erfolgen innerhalb von 72 Stunden nach Bekanntwerden.
## 9. Organisatorische Massnahmen
### 9.1 Personelle Sicherheit und Sensibilisierung
* Zugriffe auf Systeme und Kundendaten werden nur entsprechend der jeweiligen Aufgabe und Qualifikation vergeben.
* Mitarbeitende und Auftragnehmende sind vor Aufnahme ihrer Taetigkeit auf Vertraulichkeit und die Einhaltung dieser Policy zu verpflichten.
* Informationssicherheits- und Datenschutzschulungen erfolgen regelmaessig sowie anlassbezogen bei relevanten technischen, organisatorischen oder rechtlichen Aenderungen.
### 9.2 Lieferanten und Auftragsverarbeiter
* Vor Einsatz eines Dienstleisters sind dessen Sicherheitsmassnahmen, Verarbeitungsorte und datenschutzrechtliche Eignung risikoorientiert zu pruefen.
* Auftragsverarbeiter duerfen nur auf Grundlage einer geeigneten vertraglichen Vereinbarung eingesetzt werden.
* Datenverarbeitungen ausserhalb der EU bzw. des EWR beduerfen vorab einer dokumentierten rechtlichen Pruefung und gegebenenfalls geeigneter Garantien gemaess DSGVO.
### 9.3 Dokumentation und Nachweis
* Sicherheitsrelevante Systeme, Netzwerke, Verantwortlichkeiten und Verfahren sind aktuell zu dokumentieren.
* Berechtigungspruefungen, Schulungen, Sicherheitsvorfaelle, Aenderungen, Schwachstellenbewertungen sowie Backup- und Wiederherstellungstests sind nachvollziehbar festzuhalten.
* Die Nachweise sind fuer interne Kontrollen, Audits und vertragliche Nachweispflichten geordnet bereitzuhalten.
## 10. Abweichungen
Abweichungen von dieser Policy beduerfen vor ihrer Umsetzung einer dokumentierten Risikobewertung und der schriftlichen Genehmigung durch die Geschaeftsleitung. Die Genehmigung muss mindestens Umfang, Begruendung, Risiko, kompensierende Massnahmen, verantwortliche Person und Ablaufdatum enthalten. Abweichungen sind regelmaessig auf ihre weitere Erforderlichkeit zu pruefen.
## 11. Kontrolle, Ueberpruefung und Sanktionen
Die Einhaltung dieser Policy wird mindestens jaehrlich sowie nach wesentlichen Sicherheitsvorfaellen, Aenderungen der Verarbeitung, neuen erheblichen Risiken oder relevanten Rechtsaenderungen ueberprueft. Festgestellte Abweichungen sind risikoorientiert zu behandeln und mit Verantwortlichkeit und Frist nachzuverfolgen.
Verstoesse gegen diese Policy koennen arbeits-, vertrags- oder datenschutzrechtliche Massnahmen nach sich ziehen.
## 12. Mitgeltende Dokumente
* Sicherheitsdokumentation DE SIGNO GmbH
* Mitarbeiterleitfaden Informationssicherheit
* Berechtigungskonzept
* Verfahren zum Management von Sicherheitsvorfaellen und Schwachstellen
* Backup- und Wiederherstellungsverfahren
---
*Diese Policy ist nach ihrer Freigabe verbindlich und wird mindestens jaehrlich aktualisiert.*