Physische Sicherheit und Zugangskontrolle

Physical security and access control

☒

☒

Access controls (key, badge, guard)

Keys/badges are assigned to individuals

Benutzer- und Zugriffskontrolle (Identity- und Access-Management)

User and access control (identity and access management)

☒

Alle Zugriffe erfordern Authentifizierung

All access requires require authentication

☒

Regeln für Passwort-Komplexität und Erneuerung

Password Rules for password complexity and renewal rules

☒

Rollenbasiertes Identity- und Access-Management

Role-based identity and access management

☒

Arbeitsgeräte werden bei Nichtgebrauch gesperrt

☒

Tools are locked when not in use

☒

Multifaktorauthentifizierung bei externen Zugriffen

Multi-factor authentication for external access

☒Least-Privilege-Prinzip

Least privilege principle

☒

Privileged Access Management (PAM);

☒Protokollierung von Zugriffen

Access logging

☒

Nutzung von Admin-Konten nur wenn nötig

Use of admin accounts only when necessary

☒Berechtigungskonzept (need-to-know Prinzip)

Authorization concept (need-to-know principle)

Confidentiality, integrity, availability and traceability

☒

Verschlüsselung von Daten "at rest"

Encryption of data "at rest"

☒

Backup-Konzept

Backup concept

☒

Verschlüsselung von Endgeräten

☒

BCM-Konzept, Notfallplan

☒

Verschlüsselung von Daten "in transit"

☒

Regelmässige Überprüfung des Backups

☒

Verschlüsselungen nach Stand der Technik

☒

Hard- und Software inventarisiert

☒

Penetration Tests, externe Security Audits

☒

Hard- und Software laufend geprüft/aktualisiert

☒

Personal unterzeichnet Geheimhaltungserklärung

☒

Technische Redundanz (z.B. RAID, zwei Systeme)

☒

Änderungen von Daten/Systemen protokolliert

☒

Andere: Logische Trennung der als Auftragsbearbeiter bearbeiteten Daten von anderen Daten

Verschlüsselung von Daten "at rest"

Encryption of data "at rest"

Massnahmen zur Einhaltung der Datenschutzgrundsätze und Betroffenenrechte

☒

Datenschutzerklärung für alle Anwendungen

☒

Zuständigkeit für Betroffenenrechte festgelegt

☒

Trennung von produktiven Daten/Testdaten

☒

Verzeichnis der Bearbeitungstätigkeiten

☒

Verantwortlichkeit für Bearbeitungen definiert

Organisation, Überwachung und Zertifizierungen

☒

TOMS werden regelmässig geprüft/angepasst

☒

Interne oder externe Datenschutzstelle

Weisungen und Schulungen

☒

Schulung zum Informationssicherheit

☒

Schulung zum Datenschutz

☒

Awareness-Massnahmen Datenschutz/InfoSec