Die Systeme und Daten von ERBESSD INSTRUMENTS (EI) sind durch ein umfassendes Informationssicherheitsprogramm geschützt, das im Sicherheitsmanagementsystem von ERBESSD INSTRUMENTS (EISMS) festgelegt ist. Ein Team aus spezialisierten Fachkräften für Sicherheit, Datenschutz, Informationsmanagement und Compliance pflegt dieses Programm – unter Aufsicht des Vorstands in Zusammenarbeit mit der Geschäftsleitung. Das Sicherheitsteam von ERBESSD INSTRUMENTS führt Risikobewertungen durch, überprüft regelmäßig Risiken und dokumentiert diese im Rahmen eines festgelegten Risiko-Register-Prozesses.
Das Sicherheitsprogramm von ERBESSD INSTRUMENTS orientiert sich an den folgenden Rahmenwerken: dem NIST Cybersecurity Framework, der NIST-Richtlinie SP 800-171 zum Schutz von kontrollierten, nicht klassifizierten Informationen in nichtstaatlichen Informationssystemen und Organisationen, der EU-Datenschutz-Grundverordnung (DSGVO) sowie dem California Consumer Privacy Act (CCPA).
Exponent hat Richtlinien etabliert, die folgende Bereiche abdecken:
Acceptable Use Policies
Richtlinien zur akzeptablen Nutzung
|
|
Sicherheitsrichtlinien
|
|
Zugangskontrollen
Der Zugriff und die Verarbeitungskapazitäten sind auf autorisierte Benutzer und autorisierte Geräte beschränkt. Autorisierten Benutzern wird eine eindeutige Benutzer-ID mit einem komplexen Passwort zugewiesen, die für die Anmeldung erforderlich ist. Passwörter müssen regelmäßig geändert werden. Für den Fernzugriff sowie den Zugriff auf Cloud-Systeme ist eine Zwei-Faktor-Authentifizierung erforderlich. Administrative Funktionen werden über separate privilegierte Konten durchgeführt.
Architektur
EI folgt bewährten Verfahren für die Bereitstellung und Wartung seiner Systeme sowie für die Datenverwaltung in EI-Rechenzentren und Cloud-Diensten. Kritische Daten und Systeme werden repliziert und in sekundären Rechenzentren gesichert. Die Systeme sind sicher konzipiert und werden vor dem produktiven Einsatz vom Sicherheitsteam überprüft.
Audit
Das Informationssicherheitsprogramm von EI wird regelmäßig sowohl intern als auch extern auf jährlicher Basis geprüft. EI überwacht und überprüft seine Sicherheits-, Datenschutz- und Informationsmanagementmaßnahmen (Menschen, Prozesse und Kontrollen), um die Einhaltung der Richtlinien und geltenden Sicherheits-/Datenschutzstandards sicherzustellen. EI führt jährlich einen unabhängigen externen Penetrationstest durch und scannt regelmäßig seine externen und internen Netzwerke auf Schwachstellen.
Sensibilisierung und Schulung
Mitarbeitende von EI, einschließlich externer Auftragnehmer mit Systemzugangsdaten von EI, absolvieren regelmäßig zugewiesene Schulungen zur Sicherheitsbewusstseinsbildung sowie Übungen zur Erkennung von Phishing-Versuchen. Sicherheitsmitteilungen und Ankündigungen werden über das Jahr hinweg verteilt, um das Sicherheitsbewusstsein und die Schulung kontinuierlich zu fördern und zu stärken.
Geschäftskontinuität und Notfallwiederherstellung
EI unterhält einen Plan zur Geschäftskontinuität und Notfallwiederherstellung, der regelmäßig überprüft und getestet wird. Die Überlegungen zur Aufrechterhaltung der Geschäftstätigkeit und Wiederherstellung umfassen den Einsatz hochverfügbarer Systeme, Backup-Dienste, Datenreplikation sowie redundante Rechenzentren.
Datenkontrollen
Daten werden sowohl im Ruhezustand als auch während der Übertragung verschlüsselt, logisch voneinander getrennt und nur autorisierten Nutzern zugänglich gemacht. Dateiüberwachungssysteme protokollieren und überwachen den Zugriff auf Daten, während Systeme zur Verhinderung von Datenverlust die Bewegung von Daten innerhalb und außerhalb von EI überwachen.
Datenschutz
EI verpflichtet sich zum Schutz und zur Wahrung der Privatsphäre von Daten. Der Schutz und die Verwaltung der uns anvertrauten Daten haben für uns höchste Priorität. EI folgt dem Prinzip des geringstmöglichen Zugriffs („Least Privilege“) und überprüft regelmäßig die Datenzugriffsrechte einzelner Personen. EI respektiert das Recht jeder Person auf Datenschutz und arbeitet kontinuierlich daran, den geltenden Datenschutzbestimmungen zu entsprechen. Unsere Datenschutzrichtlinie kann hier eingesehen werden.
Endgerätesicherheit
Arbeitsstationen und mobile Geräte sind mit vollständiger Festplattenverschlüsselung gesichert und erfordern zur Nutzung ein Passwort, eine PIN oder biometrische Authentifizierung. Arbeitsstationsinventare, Softwarebereitstellung und Sicherheitsrichtlinien werden durch ein zentrales Konfigurationsmanagement gesteuert. Arbeitsstationen, mobile Geräte und Server müssen im Gerätemanagementsystem von EI registriert sein. Arbeitsstationen und Server sind mit moderner Endgeräteschutzsoftware ausgestattet, die künstliche Intelligenz zur Bedrohungsabwehr einsetzt. IT-Geräte in den EI-Büros sind physisch gesichert.
Reaktion auf Sicherheitsvorfälle
Der Sicherheitsvorfallreaktionsplan von EI schreibt vor, dass Sicherheitsereignisse bewertet und bei Bedarf eskaliert werden. Ein System zur Sicherheitsinformations- und Ereignisverwaltung (SIEM) speichert und analysiert Sicherheitsprotokolle. Dieses System wird rund um die Uhr (24×7) überwacht. Die Protokolle werden regelmäßig von spezialisierten Sicherheitsexperten auf verdächtige Aktivitäten und ungewöhnliches Verhalten überprüft. Mitgliedschaften in juristischen, cybersicherheitsbezogenen und branchenspezifischen Organisationen ermöglichen einen zeitnahen Austausch von Informationen und Reaktionen. EI pflegt enge Arbeitsbeziehungen zu seinen Anbietern, Strafverfolgungsbehörden und Anbietern von Managed Security Services, um zusätzliche Bedrohungsanalysen, Informationen und Reaktionsmaßnahmen zu gewährleisten.
Perimetersicherheit
EI schützt Daten, Server und Endgeräte sowohl in internen als auch in öffentlichen Netzwerken mit hochmodernen Sicherheitskontrollen. Diese Kontrollen umfassen Next-Generation-Firewalls, moderne Anti-Virus-/Anti-Malware-Lösungen, Web-Sicherheit, E-Mail-Sicherheit sowie Systeme zur Angriffserkennung (Intrusion Detection Systems). Dadurch kann EI bösartige Netzwerkangriffe verhindern, den Zugriff auf verdächtige oder schädliche Webseiten unterbinden, schädliche E-Mails oder Anhänge blockieren und sogenannte Zero-Day-Angriffe abwehren.
Lieferantenmanagement
ERBESSD INSTRUMENTS bewertet potenzielle Lieferanten anhand einer Reihe von Kriterien, um sicherzustellen, dass angemessene Sicherheitsstandards eingehalten werden, bevor ein Lieferant Zugriff auf Systeme erhält oder Systeme in Betrieb genommen werden. Verträge und Datenverarbeitungsvereinbarungen werden vor ihrer Unterzeichnung von den Teams für Informationssicherheit, Datenschutz und Recht geprüft. Die Sicherheitslage wichtiger Lieferanten wird regelmäßig überprüft.
