Mitarbeiterschulungen und Weiterbildungen

Alle Mitarbeiter werden regelmäßig zum Thema Informationssicherheit sensibilisiert und geschult. Diese Schulungen dienen der Auffrischung und Aktualisierung bei aktuellen Themen. Neue Mitarbeiter werden bereits während der Einarbeitung entsprechend geschult. Zusätzlich erhalten die Mitarbeiter bedarfsgerechte Weiterbildungen zur Sensibilisierung in Bezug auf Informationssicherheitsziele und -risiken.

Notfallmanagement und Systemaudits

Um auf Sicherheitsvorfälle zügig reagieren und mögliche Schäden begrenzen zu können, wurden Notfallversorgungskonzepte entwickelt und in Notfallhandbüchern festgehalten. Darüber hinaus werden jährliche Systemaudits durchgeführt, um eine strukturierte Sicherheitsbetrachtung aller IT-Services sicherzustellen. Der Fokus liegt dabei auf Risikobetrachtung, Zugriffsrechten und Verschlüsselung.

Datenschutz- und Informationssicherheitsmanagement

Projektron nutzt ein Datenschutzmanagementsystem (DSMS) gemäß der EU-Datenschutzgrundverordnung (EU DSGVO). Ein spezielles Team, bestehend aus ISMS-Beauftragten, arbeitet aktiv an der Informationssicherheit und den damit verbundenen Prozessen. Dieses Team kümmert sich fortlaufend um die Einhaltung der Sicherheitsziele. Zudem wurde ein Expertenteam im Unternehmen zusammengestellt, das sich mit aktuellen Themen der IT-Sicherheit und der Sicherheit in der Entwicklung auseinandersetzt.

Zentrale Softwareverteilung und Endpoint-Sicherheit

Zentrale Softwaredistribution

Auf den Betriebsrechnern wird benötigte Software zentral ausgespielt und auf dem neusten Stand gehalten.

Antivirus- und Antimalware-Software

Regelmäßig erfolgt eine Aktualisierung der ständig auf allen Endgeräten im Einsatz befindlichen Antivirus- und Antimalware-Programme.

Patch-Management

Regelmäßig werden Sicherheitsupdates und Patches für Betriebssysteme und Anwendungen eingespielt.

Netzwerk- und Perimetersicherheit

Redundante Netzwerktechnik

Internetleitung, Firewall und zentrale Switche sind redundant.

Firewalls

Zur Kontrolle des Datenverkehrs kommen Firewalls zum Einsatz.

Netzwerksegmentierung

Es erfolgt eine Trennung von Netzwerken in verschiedene Segmente, um den Zugriff auf kritische Systeme zu beschränken und die Ausbreitung von Angriffen zu verhindern.

VPN

Für mobiles Arbeiten stehen den Mitarbeitern VPN-Zugänge zur Verfügung. Die Nutzung von VPNs dient dem sicheren Fernzugriff auf interne Systeme.

Monitoring / Sicherheitsüberwachung

Zugangskontrollen und Authentifizierung

Least Privilege Principle

Die Gewährung von Zugriffsrechten erfolgt basierend auf dem Prinzip der minimalen Berechtigung, sodass Benutzer nur auf die Ressourcen zugreifen können, die sie tatsächlich benötigen.

Role-Based Access Control (RBAC)

Es wurden rollenbasierte Zugriffskontrollen implementiert, um den Zugang zu sensiblen Informationen zu beschränken.

Datenverschlüsselung und -sicherheit

Kryptografie

Die Empfehlungen der Technischen Richtlinien des BSI (BSI TR-02102) werden jährlich geprüft.

Interne Zertifizierungsstelle

Interne Dienste werden über eine eigene Zertifizierungsstelle verschlüsselt.

Verschlüsselung während der Übertragung

Verschlüsselungstechnologien kommen zum Einsatz, um Daten während der Übertragung zu schützen.

E-Mail-Sicherheit & Backups

E-Mail

Eingehender Mailverkehr wird überwacht und im Zweifelsfall zunächst in Quarantäne gestellt.

Backup & Wiederherstellung

Interne Dienste werden täglich gesichert und können schnell auf den Stand der letzten Sicherung wiederhergestellt werden. Der Wiederherstellungsprozess wird halbjährlich getestet.

Organisatorische Maßnahmen

Regelmäßige Schulungen

Wir führen Schulungen für IT-Mitarbeiter und Endbenutzer zu den neuesten Sicherheitsbedrohungen und Best Practices durch.

Security Awareness Programme

Wir führen kontinuierliche Programme zur Sensibilisierung der Mitarbeiter für Informationssicherheit durch.

Dokumentierte Sicherheitsrichtlinien

Sicherheitsrichtlinien und -verfahren werden erstellt, dokumentiert und regelmäßig aktualisiert.

Compliance

Wir stellen sicher, dass relevante gesetzliche und regulatorische Anforderungen sowie interne Sicherheitsrichtlinien eingehalten werden.

Prozessuale Maßnahmen

Incident Response und Notfallmanagement

Wir verfügen über Notfallpläne, die Maßnahmen zur Wiederherstellung der Systeme im Falle eines Vorfalls beinhalten. Zur Vorbereitung auf Sicherheitsvorfälle führen wir regelmäßig Übungen durch und überprüfen die Effektivität der Notfallpläne.

Risiko- und Schwachstellenmanagement

Regelmäßig führen wir Risikobewertungen durch, um potenzielle Bedrohungen zu identifizieren und zu bewerten. Zur Erkennung, Bewertung und Behebung von Schwachstellen in der IT-Infrastruktur implementierten wir einen Prozess.

Supportportal und Konfigurationsmanagement

Supportportal

Das Supportportal für Kunden dient dem sicheren Austausch von Informationen und dem Transfer von Daten. Die Kommunikation erfolgt über Tickets mit einer systeminternen Ablage für den Datenaustausch.

Konfigurationsversionierungsdienst (KVD)

Der Konfigurationsversionierungsdienst (KVD) ist ein zentraler Konfigurationsspeicher für Kunden und Projektron selbst. Die Konfigurationen werden dabei innerhalb eines SVN Repositorys verwaltet.

Authentifizierung und Zugriffskontrolle

Zugangsberechtigung

Die Ansprechpartner des Kunden verfügen über einen personalisierten Zugang auf das Supportportal.

Starke Authentifizierung

Für den Zugang zum Supportportal kommt eine Zwei-Faktor-Authentifizierung (2FA) zum Einsatz.

Rollenbasierte Zugriffskontrolle (RBAC)

Die Zuweisung von Zugriffsrechten erfolgt basierend auf den Rollen der Benutzer, um den Zugriff auf sensible Informationen zu beschränken.

Sichere Passwortrichtlinien

Wir haben Richtlinien für sichere Passwörter implementiert, einschließlich Mindestlänge, Komplexität und regelmäßiger Änderung.

Verschlüsselung und Datenschutz

Verschlüsselung

Zugriff auf das Supportportal ist nur über einen verschlüsselten Zugang möglich.

Datensparsamkeit

Es werden nur die zur Auftragsverarbeitung nötigen Kundendaten erhoben und im System gespeichert.

End-to-End-Verschlüsselung

Es wird sichergestellt, dass Daten während der gesamten Kommunikation über das Supportportal zwischen Kunden und Supportmitarbeitern verschlüsselt sind.

Datenschutzkonforme Prozesse

Es wurden Prozesse gemäß der Datenschutzgrundverordnung (DSGVO) und anderen relevanten Datenschutzgesetzen implementiert. Diese Prozesse werden konsequent eingehalten.

Mitarbeiterschulung und Sicherheitsinformationen

Sicherheitsinformationen für Kunden

Wir stellen sicherheitsrelevante Informationen für die Kunden regelmäßig innerhalb des Supportportals bereit.

Weiterbildung für unsere Mitarbeiter

Unsere Support-Mitarbeiter erhalten regelmäßig und bedarfsgerecht Weiterbildungen, die die Sicherheit der eingesetzten Software und Schnittstellen zu Drittsystemen betreffen, welche an Projektron BCS angebunden werden können.

Regelmäßige Schulungen

Supportmitarbeiter werden regelmäßig zu den Themen Informationssicherheit, Datenschutz und in der sicheren Handhabung von Kundendaten geschult und sensibilisiert.

Bewusstseinsprogramme

Wir führen kontinuierlich Programme zur Förderung des Sicherheitsbewusstseins und der Einhaltung von Sicherheitsrichtlinien durch.

Prozessuale Maßnahmen und Notfallmanagement

Protokollierung und Überwachung

Es erfolgt eine detaillierte Protokollierung aller Aktivitäten im Supportportal und eine regelmäßige Überprüfung der Logs auf verdächtige Aktivitäten.

Sicherheitsrichtlinien und -verfahren

Richtlinien und Verfahren zur Informationssicherheit im Supportportal werden konsequent durchgesetzt und fortlaufend angepasst. Zudem werden regelmäßig Sicherheitsüberprüfungen und Audits durchgeführt, um die Einhaltung der Sicherheitsstandards zu gewährleisten.

Incident Response und Notfallpläne

Wir befolgen einen klaren Prozesses zur Meldung, Analyse und Behebung von Sicherheitsvorfällen. Für den Fall eines Sicherheitsvorfalls bestehen Notfallpläne, die regelmäßig aktualisiert werden.

Kundendatenmanagement und -anonymisierung

Um den Schutz der Kundendaten zu erhöhen, anonymisieren oder pseudonymisieren wir Daten überall, wo es möglich ist.