Trust Center
Kontrollen
Infrastruktursicherheit
- Unbekannt: Eindeutige Authentifizierung für Produktionsdatenbanken erzwungenDas Unternehmen verlangt für den Zugriff auf Produktionsdatenspeicher autorisierte, sichere Authentifizierungsverfahren, etwa eindeutige SSH-Schlüssel.
- Unbekannt: Zugriff auf Verschlüsselungsschlüssel eingeschränktDas Unternehmen beschränkt den privilegierten Zugriff auf Verschlüsselungsschlüssel auf autorisierte Benutzer mit geschäftlichem Bedarf.
- Unbekannt: Eindeutige Kontoauthentifizierung erzwungenDas Unternehmen verlangt für den Zugriff auf Systeme und Anwendungen einen eindeutigen Benutzernamen mit Passwort oder autorisierte SSH-Schlüssel (Secure Socket Shell).
- Unbekannt: Zugriff auf Produktionsanwendungen eingeschränktDer Systemzugriff ist auf autorisierte Zugriffe beschränkt.
- Unbekannt: Zugriff auf Produktionsdatenbanken eingeschränktDas Unternehmen beschränkt den privilegierten Zugriff auf Datenbanken auf autorisierte Benutzer mit geschäftlichem Bedarf.
- Unbekannt: Zugriff auf Produktionsbetriebssysteme eingeschränktDas Unternehmen beschränkt den privilegierten Zugriff auf das Betriebssystem auf autorisierte Benutzer mit geschäftlichem Bedarf.
- Unbekannt: Zugriff auf das Produktionsnetzwerk eingeschränktDas Unternehmen beschränkt den privilegierten Zugriff auf das Produktionsnetzwerk auf autorisierte Benutzer mit geschäftlichem Bedarf.
- Unbekannt: Eindeutige Authentifizierung für Netzwerksysteme erzwungenDas Unternehmen verlangt für den Zugriff auf das Produktionsnetzwerk eindeutige Benutzernamen mit Passwort oder autorisierte SSH-Schlüssel (Secure Socket Shell).
- Unbekannt: MFA für Fernzugriff erzwungenAuf die Produktionssysteme des Unternehmens können nur autorisierte Mitarbeiter mit einer gültigen Multi-Faktor-Authentifizierung (MFA) aus der Ferne zugreifen.
- Unbekannt: Verschlüsselung für Fernzugriff erzwungenAuf die Produktionssysteme des Unternehmens können nur autorisierte Mitarbeiter über eine genehmigte verschlüsselte Verbindung aus der Ferne zugreifen.
Organisatorische Sicherheit
- Unbekannt: Anti-Malware-Technologie eingesetztDas Unternehmen setzt in Umgebungen, die häufig Ziel von Angriffen sind, Anti-Malware-Technologie ein, die regelmäßig aktualisiert, protokolliert und auf allen relevanten Systemen installiert wird.
- Unbekannt: Hintergrundprüfungen von Mitarbeitern durchgeführtDas Unternehmen führt bei neuen Mitarbeitern Hintergrundprüfungen durch.
- Unbekannt: Vertraulichkeitsvereinbarung von Mitarbeitern bestätigtDas Unternehmen verlangt von Mitarbeitern, beim Onboarding eine Vertraulichkeitsvereinbarung zu unterzeichnen.
Produktsicherheit
- Unbekannt: Datenverschlüsselung eingesetztDie Datenspeicher des Unternehmens mit sensiblen Kundendaten sind im Ruhezustand verschlüsselt.
- Unbekannt: Selbstbewertungen der Kontrollen durchgeführtDas Unternehmen bewertet seine Kontrollen mindestens jährlich selbst, um sicherzustellen, dass sie vorhanden sind und wirksam funktionieren. Auf Grundlage relevanter Befunde werden Korrekturmaßnahmen ergriffen. Hat sich das Unternehmen für einen Befund zu einer SLA verpflichtet, wird die Korrekturmaßnahme innerhalb dieser SLA abgeschlossen.
- Unbekannt: Penetrationstests durchgeführtDas Unternehmen führt mindestens jährlich Penetrationstests durch. Es wird ein Behebungsplan erstellt, und Änderungen zur Behebung von Schwachstellen werden gemäß den SLAs umgesetzt.
- Unbekannt: Verfahren für Schwachstellen- und Systemüberwachung festgelegtDie formalen Richtlinien des Unternehmens legen die Anforderungen an folgende Funktionen in IT und Entwicklung fest: Schwachstellenmanagement und Systemüberwachung.
Interne Sicherheitsverfahren
- Unbekannt: Cyberversicherung unterhaltenDas Unternehmen unterhält eine Cyberversicherung, um die finanziellen Folgen von Betriebsunterbrechungen abzufedern.
- Unbekannt: Konfigurationsmanagementsystem eingerichtetDas Unternehmen verfügt über ein Konfigurationsmanagementverfahren, das sicherstellt, dass Systemkonfigurationen in der gesamten Umgebung einheitlich bereitgestellt werden.
- Unbekannt: SOC 2 – SystembeschreibungEine Beschreibung des Systems für Abschnitt III des Prüfberichts erstellen
- Unbekannt: Hinweisgeberrichtlinie eingeführtDas Unternehmen hat eine formale Hinweisgeberrichtlinie eingeführt und einen anonymen Kommunikationskanal eingerichtet, über den Benutzer mögliche Probleme oder Betrugsverdacht melden können.
- Unbekannt: Aufsichtsbriefings des Vorstands durchgeführtDer Vorstand des Unternehmens oder ein zuständiger Ausschuss wird mindestens jährlich von der Geschäftsleitung über den Stand der Cybersicherheits- und Datenschutzrisiken unterrichtet. Der Vorstand gibt der Geschäftsleitung bei Bedarf Feedback und Vorgaben.
- Unbekannt: Vorstandssatzung dokumentiertDer Vorstand des Unternehmens hat eine dokumentierte Satzung, die seine Aufsichtspflichten für die interne Kontrolle festlegt.
- Unbekannt: Fachkompetenz des Vorstands aufgebautDie Vorstandsmitglieder verfügen über ausreichende Fachkompetenz, um zu überwachen, ob die Geschäftsleitung Informationssicherheitskontrollen entwerfen, umsetzen und betreiben kann. Bei Bedarf zieht der Vorstand externe Experten und Berater für Informationssicherheit hinzu.
- Unbekannt: Vorstandssitzungen abgehaltenDer Vorstand des Unternehmens tritt mindestens jährlich zusammen und führt formale Sitzungsprotokolle. Dem Vorstand gehören vom Unternehmen unabhängige Mitglieder an.
- Unbekannt: Systemänderungen extern kommuniziertDas Unternehmen informiert Kunden über kritische Systemänderungen, die ihre Verarbeitung beeinträchtigen können.
- Unbekannt: Rollen und Verantwortlichkeiten festgelegtRollen und Verantwortlichkeiten für Entwurf, Entwicklung, Umsetzung, Betrieb, Wartung und Überwachung von Informationssicherheitskontrollen sind in Stellenbeschreibungen und/oder der Richtlinie zu Rollen und Verantwortlichkeiten formal zugewiesen.
- Unbekannt: Supportsystem verfügbarDas Unternehmen betreibt ein extern erreichbares Supportsystem, über das Benutzer Ausfälle, Vorfälle, Bedenken und andere Beschwerden an die zuständigen Personen melden können.
- Unbekannt: Systemänderungen kommuniziertDas Unternehmen teilt Systemänderungen autorisierten internen Benutzern mit.
- Unbekannt: Zugriffsanträge erforderlichDas Unternehmen stellt sicher, dass der Benutzerzugriff auf Systemkomponenten im Geltungsbereich auf Rolle und Funktion beruht oder vor der Bereitstellung einen dokumentierten Zugriffsantrag und die Genehmigung der Führungskraft erfordert.
- Unbekannt: Unternehmensverpflichtungen extern kommuniziertDie Sicherheitsverpflichtungen des Unternehmens werden Kunden in Rahmenverträgen (MSA) oder Nutzungsbedingungen (TOS) mitgeteilt.
- Unbekannt: Externe Supportressourcen verfügbarDas Unternehmen stellt Kunden Leitfäden und technische Supportressourcen zum Systembetrieb bereit.
- Unbekannt: Leistungsbeschreibung kommuniziertDas Unternehmen stellt internen und externen Benutzern eine Beschreibung seiner Produkte und Leistungen bereit.
- Unbekannt: Ziele der Risikobewertung festgelegtDas Unternehmen legt seine Ziele fest, damit Risiken in Bezug auf diese Ziele erkannt und bewertet werden können.
- Unbekannt: Risikobewertungen durchgeführtDas Unternehmen führt mindestens jährlich Risikobewertungen durch. Dabei werden Bedrohungen und Veränderungen (umweltbezogen, regulatorisch und technologisch) für die Leistungsverpflichtungen ermittelt und die Risiken formal bewertet. Die Risikobewertung berücksichtigt auch das Betrugspotenzial und wie Betrug das Erreichen der Ziele beeinträchtigen kann.
Daten und Datenschutz
- Unbekannt: Kundendaten beim Ausscheiden gelöschtDas Unternehmen löscht oder entfernt Kundendaten mit vertraulichen Informationen nach bewährten Verfahren aus der Anwendungsumgebung, wenn Kunden den Dienst verlassen.
Berichte
Unterauftragsverarbeiter
Daten
Hacktron erhebt personenbezogene Daten von Kunden und Kreditkartendaten. Nicht erhoben werden: Gesundheitsdaten.