Trust Center

Prüfung des Produktionszugriffs

Unser Informationssicherheitsbeauftragter prüft und genehmigt einmal im Jahr, wer Zugriff auf die Produktionskonsole hat.

Vorfallprotokolle

Wir dokumentieren jeden Sicherheitsvorfall, seine Untersuchung und die Maßnahmen, die wir nach unserem Vorfallverfahren ergriffen haben.

Schwachstellenscans

Wir scannen die Plattform regelmäßig auf Schwachstellen.

Zentrale Schwachstellenverfolgung

Jede gefundene Schwachstelle wird zentral verfolgt und innerhalb der Frist behoben, die unsere Schwachstellenrichtlinie vorgibt.

Änderungsbenachrichtigungen

Wichtige Personen werden informiert, sobald eine Änderung in die Produktion ausgerollt wird, damit nur autorisierte Änderungen live gehen.

Genehmigter Zugriff

Zugriff auf kritische Systeme wird nur nach Freigabe durch autorisierte Mitarbeitende vergeben, für einen individuellen Bedarf oder eine vordefinierte Rolle.

Zugriffsentzug beim Austritt

Verlässt jemand das Unternehmen, wird der nicht mehr benötigte Zugriff unverzüglich entfernt.

Zugriff auf Produktionsdatenbanken

Nur wer es für seine Arbeit braucht, kann auf die Produktionsdatenbanken zugreifen.

Multi-Faktor-Authentifizierung

Alle Mitarbeitenden mit Zugriff auf ein kritisches System melden sich mit Multi-Faktor-Authentifizierung an.

Prüfung von Berechtigungen

Die Geschäftsleitung oder der Informationssicherheitsbeauftragte prüft regelmäßig, dass der Zugriff auf kritische Systeme auf die Personen beschränkt ist, die ihn brauchen.

Prüfung von Admin-Zugriffen

Administrative Zugriffe auf kritische Systeme werden regelmäßig auf dieselbe Weise geprüft.

Verschlüsselung ruhender Daten

Alle Produktionsdatenbanken mit Kundendaten sind im Ruhezustand verschlüsselt.

Infrastrukturinventar

Wir führen ein aktuelles Inventar unserer Infrastruktursysteme, mit den Angaben, die nötig sind, um die Verantwortlichkeit für jedes System zu kennen.

Backups

Nutzer- und Systemdaten werden regelmäßig gesichert, um unsere Ziele für Wiederherstellungszeit und Wiederherstellungspunkt zu erfüllen, und jedes Backup wird auf Integrität geprüft.

Wiederherstellungstests

Wir testen Backups regelmäßig, um sicherzustellen, dass sie sich wiederherstellen lassen und die Daten unversehrt sind.

Überwachung der Kontrollen

Unsere Systeme erzeugen Informationen, die wir auswerten, um zu sehen, ob die internen Kontrollen wirken.

Kein öffentlicher Datenbankzugriff

Produktionsdatenbanken und SSH Zugänge zu unserer Infrastruktur sind aus dem öffentlichen Internet nicht erreichbar.

Firewall mit Standardsperre

Jeder Produktionshost liegt hinter einer Firewall, die jeglichen Datenverkehr blockiert, sofern er nicht ausdrücklich erlaubt ist.

Verschlüsselung bei der Übertragung

Daten werden bei der Übertragung mit Standardverfahren verschlüsselt, darunter HTTPS über TLS.

Bedrohungserkennung

Audit-Ereignisse werden analysiert, um ungewöhnliche oder verdächtige Aktivitäten zu erkennen.

Kapazitätsüberwachung

Kritische Systeme werden laufend überwacht, mit Alarmen bei Kapazitätsengpässen, um die Leistung zu halten und vor Denial of Service Angriffen zu schützen.

Schutz von Testdaten

Kundendaten, die außerhalb der Produktion genutzt werden, erhalten denselben Schutz wie in der Produktion.

Zentrale Sicherheitslogs

Alle kritischen Systeme erzeugen Audit-Ereignisse für sicherheitsrelevante Aktionen, die an einer Stelle gesammelt werden.

Öffentliche Datenschutzerklärung

Unsere Website zeigt aktuelle Informationen zu unseren Diensten und einen klaren Link zu unserer Datenschutzerklärung.

Änderungsmanagement

Änderungen an unserer Betriebsumgebung folgen einem dokumentierten Verfahren.

Freigabe von Änderungen

Änderungen an der Betriebsumgebung benötigen eine Freigabe, bevor sie umgesetzt werden.

Warnung bei Rollenwechsel

Wechselt jemand die Rolle, weist die laufende Überwachung das Sicherheitsteam an, den Zugriff anzupassen.

Schutz vor Schadsoftware

Auf Laptops und anderen Geräten mit Zugriff auf kritische Server oder Daten läuft ein Schutz vor Schadsoftware.

Geräteverschlüsselung

Diese Geräte nutzen eine vollständige Festplatten- oder Containerverschlüsselung.

Gerätekontrollen

Bevor sich ein Gerät mit unseren internen Systemen verbindet, werden seine Softwareversionen und Patches geprüft.

Bildschirmsperre

Geräte mit Zugriff auf kritische Server oder Daten sperren sich nach 15 Minuten Inaktivität automatisch.

Verschlüsselte kritische Geräte

Jedes kritische Gerät ist gegen unbefugten Zugriff verschlüsselt.

Verhaltenskodex

Ein schriftlicher Verhaltenskodex legt fest, wie wir uns verhalten.

Organisationsstruktur

Unsere Struktur legt fest, wer welche Befugnisse und Verantwortung hat.

Rollen und Verantwortlichkeiten

Mitarbeitende werden über ihre Rolle und ihre Verantwortlichkeiten informiert.

Qualifiziertes Sicherheitspersonal

Sicherheitsrelevante Positionen werden mit Personen besetzt, die über die passenden Fähigkeiten verfügen.

Hintergrundprüfung

Personen werden vor der Zugriffsvergabe auf Sicherheitsrisiken überprüft.

Richtlinien beim Onboarding

Neue Mitarbeitende bestätigen, dass sie die für sie geltenden Unternehmensrichtlinien gelesen haben.

Schulungen zu Sicherheit und Datenschutz

Mitarbeitende erhalten Schulungen zu Sicherheit und Datenschutz, die zu ihrer Tätigkeit passen.

Leistungsbeurteilungen

Personen in kundennahen, IT, Entwicklungs- und Sicherheitsrollen werden regelmäßig an ihren Aufgaben gemessen.

Regelmäßige Bestätigung der Richtlinien

Mitarbeitende bestätigen die geltenden Richtlinien in regelmäßigen Abständen erneut.

Interne Meldung von Vorfällen

Unsere Richtlinien erklären den Mitarbeitenden, wie sie Ausfälle, Vorfälle und Bedenken zu unseren Diensten oder Systemen melden.

Meldung von Vorfällen durch Kunden

Kunden wissen, wie sie uns Ausfälle, Vorfälle und Bedenken melden.

Jährliche Risikobewertung

Einmal im Jahr führen wir eine formelle Risikobewertung durch, um Bedrohungen für unsere Sicherheitszusagen zu erkennen.

Risikobewertung nach Punkten

Jedes Risiko erhält eine Bewertung für Eintrittswahrscheinlichkeit und Auswirkung auf Sicherheit, Verfügbarkeit und Vertraulichkeit und ist mit den Maßnahmen verknüpft, die es verringern.

Betrugsrisiko

Das Betrugsrisiko ist Teil unserer Risikomatrix.

Risikobewertung von Lieferanten

Einmal im Jahr bewerten wir, welche Lieferanten für unsere Sicherheitszusagen kritisch sind.

Informationssicherheitsbeauftragter

Die Geschäftsleitung hat einen Informationssicherheitsbeauftragten ernannt, der das Sicherheits- und Datenschutzprogramm leitet.

Laufendes internes Audit

Sprinto verfolgt den Zustand des Sicherheitsprogramms und berichtet ihn an den Informationssicherheitsbeauftragten und weitere Beteiligte.

Überprüfung des Programms

Die Geschäftsleitung prüft und genehmigt das Sicherheitsprogramm sowie seine Richtlinien und Verfahren in festgelegten Abständen und nach wesentlichen Änderungen.

Prüfung des Organigramms

Die Geschäftsleitung prüft und genehmigt das Organigramm jedes Jahr.

Prüfung des Risikoberichts

Die Geschäftsleitung prüft und genehmigt den Bericht zur Risikobewertung jedes Jahr.

Prüfung des Lieferantenrisikoberichts

Die Geschäftsleitung prüft und genehmigt den Bericht zur Risikobewertung der Lieferanten jedes Jahr.

Bewertung von Unterauftragnehmern

Wir bewerten unsere Unterauftragnehmer regelmäßig, damit wir unsere Zusagen an Kunden einhalten können.

Funktionstrennung

Verantwortlichkeiten und Aufgaben sind auf mehrere Personen verteilt, um das Risiko für unsere Dienste zu senken.

Tests des Notfallplans

Wir testen unseren Notfallplan regelmäßig, um zu prüfen, dass wir ihn umsetzen können.

PCI DSS Zuständigkeiten

Wir führen eine Liste, welche PCI DSS Anforderungen jeder Dienstleister erfüllt und welche wir selbst verantworten.

Verantwortung für Assets

Jedes Asset hat einen Verantwortlichen, der für seinen Schutz zuständig ist.

Rechtliche und regulatorische Anforderungen

Wir führen eine Liste der rechtlichen, gesetzlichen und regulatorischen Anforderungen, die für unsere Informationssicherheit gelten.

Nachweise der Onboarding-Schulung

Neue Mitarbeitende absolvieren beim Onboarding eine Schulung zu Sicherheit und Datenschutz, und wir bewahren die Nachweise auf.

Schulungsnachweise

Wir dokumentieren, überwachen und speichern die Schulungsaktivitäten jeder Person.

Pflege des Inventars

Das Systeminventar wird aktualisiert, sobald Systeme installiert, entfernt oder aktualisiert werden.

Geräteinventar

Wir führen ein Inventar aller Geräte, mit den Angaben, die nötig sind, um die Verantwortlichkeit für jedes Gerät zu kennen.