Technische und organisatorische Massnahmen (TOMs)

In den folgenden Abschnitten werden die aktuellen technischen und organisatorischen Massnahmen der Fidectus definiert. Die Massnahmen basieren auf den Policies des nach ISO27001 zertifizierten Information Security Management Systems (ISMS) der Fidectus. Fidectus kann diese Massnahmen jederzeit unangekündigt ändern, solange eine vergleichbare oder höhere Sicherheitsstufe aufrechterhalten wird. Einzelne Massnahmen können durch neue Massnahmen, die denselben Zweck erfüllen, ersetzt werden, ohne dass die Sicherheitsstufe beim Schutz Personenbezogener Daten verringert wird.

1.        ZUTRITTSKONTROLLE

Unbefugten wird der physische Zugang zu Einrichtungen, Gebäuden und Räumlichkeiten verwehrt, in denen sich Datenverarbeitungssysteme befinden, die Personenbezogene Daten verarbeiten oder nutzen.

1.1.     Massnahmen

1.1.1.    Fidectus schützt Gebäude durch angemessene Massnahmen.

1.1.2.    Im Allgemeinen sind Gebäude durch Zutrittskontrollsysteme (z. B. Zutritt per Chipkarte) gesichert.

1.1.3.    Als Mindestanforderung müssen die äusseren Zugänge eines Gebäudes mit einer Schliessanlage ausgestattet sein, einschliesslich einer Schlüsselverwaltung.

1.1.4.    Abhängig von der Sicherheitseinstufung werden Gebäude, einzelne Bereiche und das umliegende Gelände möglicherweise durch weitere Massnahmen geschützt. Dazu gehören spezielle Zutrittsprofile, Videoüberwachung, Einbruchmeldeanlagen und biometrische Zutrittskontrollsysteme.

1.1.5.    Die Vergabe der Zutrittsrechte an die berechtigten Personen erfolgt auf individueller Basis gemäss den Massnahmen zur System- und Datenzugriffskontrolle (siehe folgende Abschnitte 1.2 und 1.3). Dies gilt auch für den Zutritt von Besuchern. Gäste und Besucher in Fidectus-Gebäuden müssen sich namentlich anmelden und von autorisiertem Fidectus-Personal begleitet werden.

1.1.6.    Fidectus-Personal und externes Personal müssen ihren Firmenausweis / Zugangskarte an allen Fidectus-Standorten tragen.

1.2.     Zusätzliche Massnahmen für Rechenzentren

1.2.1.    Für alle Rechenzentren gelten strenge Sicherheitsmassnahmen, die u.a. durch Wachpersonal, Überwachungskameras, Bewegungsmelder und Zugangskontrollmechanismen unterstützt werden, um Anlagen und Einrichtungen von Rechenzentren vor dem Zugriff Unbefugter zu schützen. Zu den Systemen und zur Infrastruktur der Rechenzentren haben ausschliesslich autorisierte Personen Zugang. Um die ordnungsgemässe Funktion zu schützen, werden Sicherheitsgeräte (Bewegungssensoren, Kameras usw.) in regelmässigen Abständen gewartet.

1.2.2.    Fidectus sowie alle von Dritten betriebenen Rechenzentren protokollieren die Namen und Uhrzeiten von befugten Personen, die die nicht öffentlichen Bereiche von Fidectus innerhalb der Rechenzentren betreten.

2.        SYSTEMZUGRIFFSKONTROLLE

Datenverarbeitungssysteme, die zur Bereitstellung des Cloud Service genutzt werden, sind vor einer nicht autorisierten Nutzung zu schützen. Massnahmen:

2.1.     Die Gewährung des Zugriffs auf sensible Systeme, einschliesslich der Systeme zur Speicherung und Verarbeitung Personenbezogener Daten, erfolgt über Berechtigungsstufen. Berechtigungen werden über definierte Prozesse gemäss Fidectus ISMS verwaltet.

2.2.     Alle Personen greifen mit einer eindeutigen Kennung (User-ID) auf die Systeme von Fidectus zu.

2.3.     Fidectus hat Verfahren eingerichtet, so dass angeforderte Änderungen an Berechtigungen nur in Übereinstimmung mit dem Fidectus ISMS durchgeführt werden (beispielsweise werden keine Rechte ohne entsprechende Berechtigung erteilt). Wenn ein Mitarbeiter das Unternehmen verlässt, werden dessen Zugriffsrechte aufgehoben.

2.4.     Fidectus hat eine Kennwortrichtlinie festgelegt, die die Weitergabe von Kennwörtern untersagt, regelt, wie vorzugehen ist, wenn ein Kennwort offengelegt wird, und erfordert, dass Kennwörter regelmässig geändert und vorgegebene Kennwörter geändert werden. Zur Authentifizierung werden personalisierte Benutzerkennungen (User-IDs) zugewiesen. Alle Kennwörter müssen bestimmte Mindestbedingungen erfüllen und werden in verschlüsselter Form gespeichert.

2.5.     Das Unternehmensnetzwerk ist durch Firewalls vor dem öffentlichen Netzwerk geschützt

2.6.     Fidectus verwendet aktuelle Virenscanner an den Übergängen zum Firmennetz (für E-Mail-Konten), sowie auf allen Fileservern und auf allen Einzelplatzcomputern.

3.        DATENZUGRIFFSKONTROLLE

Personen, die zur Nutzung von Datenverarbeitungssystemen berechtigt sind, erhalten nur Zugriff auf die Personenbezogenen Daten, für die sie Zugriffsrechte besitzen, und Personenbezogene Daten dürfen bei der Verarbeitung, Nutzung oder Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden.
Massnahmen:

3.1.1.    Im Rahmen des Fidectus ISMS erfordern Personenbezogene Daten zumindest den gleichen Schutz wie «vertrauliche» («confidential») Informationen im Sinne des Fidectus-Informationsklassifizierungsstandards.

3.1.2.    Der Zugriff auf Personenbezogene Daten wird nur bei entsprechender Notwendigkeit gewährt («Need-to-know»-Prinzip). Jeder Person wird der Zugriff nur auf diejenigen Informationen gewährt, die sie zur Erledigung ihrer Pflichten benötigt. Fidectus verwendet Berechtigungskonzepte, die die Zuweisungsprozesse und die zugewiesenen Rollen pro Account (User ID) dokumentieren. Alle Auftraggeberdaten werden gemäss Fidectus ISMS geschützt.

4.        DATENÜBERTRAGUNGSKONTROLLE

Die Datenübertragungskontrolle gewährleistet, dass Personenbezogene Daten, ausser soweit für die Erbringung der Cloud Services gemäss der Vereinbarung notwendig, bei der Übertragung oder Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Beim physischen Transport von Datenträgern werden bei Fidectus geeignete Massnahmen getroffen, um die vereinbarten Service-Level zu gewährleisten (z. B. Verschlüsselung).
Massnahmen:

4.1.     Personenbezogene Daten sind bei der Übertragung über interne Fidectus-Netzwerke gemäss Fidectus ISMS geschützt.

4.2.     Im Hinblick auf die Übertragung der Daten zwischen Fidectus und ihren Auftraggebern werden die Sicherheitsmassnahmen für die übertragenen Personenbezogenen Daten von den Parteien vereinbart und zum Bestandteil der Vereinbarung. Dies gilt sowohl für die physische als auch für die netzwerkbasierte Datenübertragung. In jedem Fall übernimmt der Auftraggeber die Verantwortung für die Datenübertragung, sobald sie ausserhalb der von Fidectus kontrollierten Systeme erfolgt.

5.        DATENEINGABEKONTROLLE

Es wird die Möglichkeit geschaffen, im Nachhinein zu untersuchen und festzustellen, ob und von wem Personenbezogene Daten erfasst, modifiziert oder aus den Datenverarbeitungssystemen der Fidectus entfernt wurden. Massnahmen:

5.1.     Fidectus gestattet ausschliesslich befugten Personen im Rahmen ihrer Pflichten, auf Personenbezogene Daten zuzugreifen.

5.2.     Fidectus hat innerhalb des Cloud Service ein Protokollierungssystem für das Erfassen, Ändern und Löschen oder Sperren Personenbezogener Daten durch Fidectus oder ihre Unterauftragsverarbeiter im technisch möglichen Umfang implementiert.

6.        AUFTRAGSKONTROLLE

Personenbezogene Daten, die im Auftrag verarbeitet werden (z. B. im Auftrag des Auftraggebers), werden ausschliesslich in Übereinstimmung mit der Vereinbarung und den diesbezüglichen Weisungen des Auftraggebers verarbeitet.
Massnahmen:

6.1.     Fidectus nutzt Kontrollen und Verfahren, um die Einhaltung der Verträge zwischen Fidectus und ihren Auftraggebern, Unterauftragsverarbeitern oder anderen Serviceanbietern zu überwachen.

6.2.     Im Rahmen des Fidectus ISMS erfordern Personenbezogene Daten zumindest den gleichen Schutz wie «vertrauliche» («confidential») Informationen im Sinne des Fidectus-Informationsklassifizierungsstandards.

6.3.     Sämtliche Fidectus-Mitarbeiter und Unterauftragsverarbeiter oder anderen Serviceanbieter werden vertraglich verpflichtet, die Geheimhaltungspflicht in Bezug auf alle sensiblen Informationen einschliesslich Geschäftsgeheimnissen von Auftraggebern und Partnern der Fidectus einzuhalten.

7.        VERFÜGBARKEITSKONTROLLE

Personenbezogene Daten werden vor versehentlicher oder nicht autorisierter Vernichtung oder Verlust geschützt. Fidectus verfügt über regelmässige Backup-Prozesse zur Wiederherstellung der Verfügbarkeit geschäftskritischer Systeme bei Bedarf. Massnahmen:

7.1.     Fidectus hat Geschäftseventualfallpläne für geschäftskritische Prozesse ausgearbeitet und kann Desaster Recovery Strategien für geschäftskritische Services anbieten, wie näher in der Dokumentation beschrieben oder in dem Bestellformular («Order Agreement») für den jeweiligen Cloud Service einbezogen.

7.2.     Notfallprozesse und -systeme werden regelmässig getestet.

8.        TRENNUNGSKONTROLLE

Personenbezogene Daten, die für unterschiedliche Zwecke erfasst werden, können getrennt verarbeitet werden.
Massnahmen:

8.1.     Fidectus nutzt die technischen Möglichkeiten der implementierten Software, um die Trennung von Personenbezogenen Daten zu ermöglichen, die von verschiedenen Auftraggebern stammen.

8.2.     Der Auftraggeber (einschliesslich seiner Verantwortlichen) hat ausschliesslich auf seine eigenen Daten Zugriff.

8.3.     Wenn zur Bearbeitung eines Supportfalls des Auftraggebers Personenbezogene Daten dieses Auftraggebers benötigt werden, werden die Daten dieser Meldung zugeordnet und nur zur Bearbeitung dieser Meldung verwendet. Diese Daten werden in dedizierten Support-Systemen gespeichert.

9.        DATENINTEGRITÄTSKONTROLLE

Personenbezogene Daten bleiben während der Verarbeitungsaktivitäten unversehrt, vollständig und aktuell.
Massnahmen:

9.1.     Fidectus hat zum Schutz vor unautorisierten Änderungen zahlreiche Sicherheitsmassnahmen umgesetzt.

9.2.     Insbesondere verwendet Fidectus die folgenden Mittel, um die obigen Abschnitte zu Kontrollen und Massnahmen umzusetzen:

9.2.1.    Firewalls;

9.2.2.    Security Monitoring;

9.2.3.    Antivirensoftware;

9.2.4.    Erstellen von Sicherungskopien und Wiederherstellung;

9.2.5.    Externe und interne Penetrationstests;

9.2.6.    Regelmässige Prüfung der Sicherheitsmassnahmen durch externe Dritte.