Informationssicherheitsstandards von Testlify

1. Einleitung

Dieses Dokument beschreibt die Informationssicherheitsstandards von Testlify, einem Softwareunternehmen, das dem Schutz seiner Informationswerte verpflichtet ist. Die Standards sollen die Vertraulichkeit, Integrität und Verfügbarkeit von Daten sicherstellen und die Einhaltung der geltenden Gesetze und Vorschriften unterstützen.

2. Ziele der Informationssicherheit

• Die Informationswerte des Unternehmens vor unbefugtem Zugriff, Offenlegung, Veränderung und Zerstörung schützen.
• Die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen sicherstellen.
• Gesetzliche, regulatorische und vertragliche Pflichten einhalten.
• Eine sicherheitsbewusste Kultur im Unternehmen fördern.

3. Geltungsbereich

Diese Standards gelten für alle Mitarbeitenden, Auftragnehmer und Drittdienstleister, die Zugriff auf die Informationssysteme und Daten von Testlify haben.

4. Rollen und Verantwortlichkeiten in der Informationssicherheit

5. Standards für das Risikomanagement

• Regelmäßige Risikobewertungen durchführen, um Bedrohungen für Informationswerte zu erkennen und zu bewerten.
• Pläne zur Risikobehandlung dokumentieren und pflegen.
• Maßnahmen zur Minderung erkannter Risiken umsetzen.
• Die Risikomanagementprozesse jährlich oder bei wesentlichen Änderungen prüfen und aktualisieren.

6. Standards für die Klassifizierung und Handhabung von Informationen

7. Standards für die Zugriffskontrolle

• Eine rollenbasierte Zugriffskontrolle (RBAC) umsetzen, die den Zugriff auf Informationssysteme anhand der Rolle beschränkt.
• Starke Authentifizierungsverfahren wie die Multi-Faktor-Authentifizierung (MFA) für den Zugriff auf kritische Systeme verwenden.
• Zugriffsberechtigungen regelmäßig prüfen und aktualisieren.
• Das Prinzip der geringsten Rechte durchsetzen und Mitarbeitenden nur den für ihre Aufgaben nötigen Zugriff gewähren.

8. Standards für den Datenschutz

• Sicherstellen, dass alle Daten regelmäßig gesichert und sicher gespeichert werden.
• Daten im Ruhezustand und bei der Übertragung verschlüsseln.
• Maßnahmen zur Verhinderung von Datenverlust (DLP) gegen unbefugte Datenabflüsse umsetzen.
• Regelmäßige Prüfungen der Datenintegrität durchführen, um die Richtigkeit und Vollständigkeit der Informationen sicherzustellen.

9. Standards für das Vorfallmanagement

• Einen Notfallplan für Sicherheitsvorfälle (IRP) festlegen und pflegen.
• Mitarbeitende in den Verfahren zur Meldung von und Reaktion auf Vorfälle schulen.
• Alle Sicherheitsvorfälle dokumentieren und untersuchen.
• Nach Vorfällen Analysen durchführen, um Ursachen zu ermitteln und Sicherheitsmaßnahmen zu verbessern.

10. Standards für Geschäftskontinuität und Notfallwiederherstellung

• Einen Geschäftskontinuitätsplan (BCP) und einen Notfallwiederherstellungsplan (DRP) erstellen und pflegen.
• BCP und DRP regelmäßig testen und aktualisieren.
• Externe Backups kritischer Systeme und Daten vorhalten.
• Wiederherstellungszeitziele (RTO) und Wiederherstellungspunktziele (RPO) für kritische Systeme festlegen.

11. Standards für die physische Sicherheit

• Den Zugang zu den Unternehmensräumen über Zutrittskarten oder biometrische Systeme steuern.
• Überwachungskameras und Sicherheitsalarme installieren, um physische Werte zu überwachen und zu schützen.
• Physische Medien mit sensiblen Informationen in verschlossenen Lagerbereichen sichern.
• Umgebungsschutzmaßnahmen wie Brandlöschanlagen zum Schutz vor physischen Bedrohungen umsetzen.

12. Standards für Compliance und Recht

• Die Einhaltung geltender Gesetze, Vorschriften und Branchenstandards sicherstellen.
• Regelmäßige Audits durchführen, um die Einhaltung der festgelegten Standards zu überprüfen.
• Aufzeichnungen über Compliance-Aktivitäten und -Ergebnisse führen.
• Korrekturmaßnahmen umsetzen, um Compliance-Mängel zu beheben.

13. Standards für Sicherheitsbewusstsein und Schulung

• Allen Mitarbeitenden regelmäßige Schulungen zum Sicherheitsbewusstsein anbieten.
• Schulungsmaterialien aktualisieren, damit sie die neuesten Sicherheitstrends und Bedrohungen abbilden.
• Die Wirksamkeit der Schulungsprogramme durch Tests und Simulationen bewerten.
• Eine Kultur des Sicherheitsbewusstseins und der proaktiven Meldung von Sicherheitsproblemen fördern.

14. Überprüfung und Pflege der Standards

• Die Informationssicherheitsstandards jährlich oder bei wesentlichen Änderungen prüfen und aktualisieren.
• Aktualisierungen allen Mitarbeitenden und Stakeholdern mitteilen.
• Die kontinuierliche Verbesserung des Informationssicherheitsprogramms sicherstellen.