DATENSICHERHEITS- UND IT-SICHERHEITSERKLÄRUNG

Die Systeme und Daten von ERBESSD INSTRUMENTS® (EI) sind durch ein umfassendes Informationssicherheitsprogramm geschützt, das im Sicherheitsmanagementsystem von ERBESSD INSTRUMENTS® (EISMS) beschrieben ist. Dedizierte Fachleute für Sicherheit, Datenschutz, Informationsgovernance und Compliance pflegen das Programm unter der Aufsicht des Vorstands in Zusammenarbeit mit der Unternehmensführung. Das Sicherheitsteam von ERBESSD INSTRUMENTS® führt Risikobewertungen durch, erstellt regelmäßige Risikoüberprüfungen und verfolgt Risiken mithilfe eines dokumentierten Risikoregisterprozesses.

Das Sicherheitsprogramm von ERBESSD INSTRUMENTS® unterstützt die folgenden Rahmenwerke: NIST Cybersecurity Framework, NIST SP 800-171 zum Schutz kontrollierter nicht klassifizierter Informationen in nicht-föderalen Informationssystemen und -organisationen, die EU-Datenschutz-Grundverordnung (DSGVO) und den California Consumer Privacy Act (CCPA).

ERBESSD INSTRUMENTS® hat Richtlinien etabliert, die Folgendes abdecken:

Richtlinien zur akzeptablen Nutzung

Sicherheitsrichtlinien

Zugriffskontrollen

Zugriffs- und Verarbeitungsfähigkeiten sind auf autorisierte Benutzer und autorisierte Geräte beschränkt. Autorisierten Benutzern wird eine eindeutige Benutzer-ID mit einem komplexen Passwort zugewiesen, die für die Anmeldung erforderlich ist. Passwörter müssen regelmäßig geändert werden. Für den Fernzugriff und den Zugriff auf Cloud-Systeme ist eine Zwei-Faktor-Authentifizierung erforderlich. Administrative Funktionen werden über separate privilegierte Konten abgewickelt.

Architektur

EI folgt Best Practices für die Bereitstellung und Wartung seiner Systeme sowie für die in EI-Rechenzentren und Cloud-Diensten gespeicherten Daten. Kritische Daten und Systeme werden in sekundären Rechenzentren repliziert und gesichert. Systeme werden sicher konzipiert und vor der Inbetriebnahme vom Sicherheitsteam überprüft.

Prüfung

Das Informationssicherheitsprogramm von EI wird regelmäßig, sowohl intern als auch extern, auf jährlicher Basis geprüft. EI überwacht und prüft seine Sicherheit, seinen Datenschutz und seine Informationsgovernance (Personen, Prozesse und Kontrollen), um die Einhaltung von Richtlinien und anwendbaren Sicherheits-/Datenschutzstandards zu gewährleisten. EI führt jährlich einen unabhängigen externen Penetrationstest durch und scannt regelmäßig seine externen und internen Netzwerke auf Schwachstellen.

Bewusstsein und Schulung

EI-Mitarbeiter, einschließlich Auftragnehmer mit EI-Systemzugangsdaten, absolvieren regelmäßig zugewiesene Schulungen zum Sicherheitsbewusstsein und nehmen an Phishing-Trainingsübungen teil. Sicherheitsbulletins und Ankündigungen werden das ganze Jahr über geteilt, um rechtzeitige Erinnerungen für Bewusstsein und Schulung zu liefern.

Geschäftskontinuität und Notfallwiederherstellung

EI pflegt einen Business-Continuity- und Notfallwiederherstellungsplan, der regelmäßig überprüft und getestet wird. Die Kontinuitäts- und Wiederherstellungsüberlegungen von EI umfassen den Einsatz von Hochverfügbarkeitssystemen, Backup-Diensten, Datenreplikation und redundanten Rechenzentren.

Datenkontrollen

Daten werden im Ruhezustand und bei der Übertragung verschlüsselt, logisch getrennt, und der Zugriff wird nur autorisierten Benutzern gewährt. Dateiüberwachungssysteme protokollieren und überwachen den Zugriff auf Daten, während Systeme zur Verhinderung von Datenverlust die Bewegung von Daten innerhalb und außerhalb von EI überwachen.

Datenschutz

EI ist dem Schutz und der Privatsphäre von Daten verpflichtet. Der Schutz und die Verwaltung der uns anvertrauten Daten gehören zu unseren höchsten Prioritäten. EI folgt einem Modell des Zugriffs mit minimalen Rechten und überprüft regelmäßig den Datenzugriff von Einzelpersonen. EI respektiert das Recht auf Privatsphäre von Einzelpersonen und wir arbeiten kontinuierlich daran, die Datenschutzvorschriften einzuhalten. Unsere Datenschutzrichtlinie kann hier eingesehen werden.

Endgerätesicherheit

Arbeitsstationen und Mobilgeräte sind mit vollständiger Festplattenverschlüsselung gesichert und erfordern ein Passwort, eine PIN oder Biometrie für den Zugriff. Arbeitsstationsinventare, Softwarebereitstellung und Sicherheitsrichtlinien werden durch das Enterprise-Konfigurationsmanagement gesteuert. Arbeitsstationen, Mobilgeräte und Server müssen beim Geräteverwaltungssystem von EI registriert werden. Arbeitsstationen und Server sind mit erweitertem Endgeräteschutz ausgestattet, der KI einsetzt, um bei der Bekämpfung von Bedrohungen zu helfen. IT-Geräte in den Büros von EI sind physisch gesichert.

Reaktion auf Vorfälle

Der Sicherheitsvorfallsreaktionsplan von EI schreibt vor, dass Sicherheitsereignisse bewertet und bei Bedarf eskaliert werden. Ein System zur Verwaltung von Sicherheitsinformationen und -ereignissen (SIEM) führt und analysiert Sicherheitsprotokolle. Dieses System wird rund um die Uhr überwacht. Protokolle werden regelmäßig von dediziertem Sicherheitspersonal auf verdächtige Aktivitäten und ungewöhnliches Verhalten analysiert. Mitgliedschaften in rechtlichen, cyber- und Peer-Organisationen sind vorhanden, um einen zeitnahen Informationsaustausch und Reaktionsaktivitäten zu ermöglichen. EI pflegt eine enge Arbeitsbeziehung mit seinen Lieferanten, Strafverfolgungsbehörden und verwalteten Sicherheitsdienstleistern für zusätzliche Bedrohungsinformationen, Analyse und Reaktion.

Perimetersicherheit

EI schützt Daten, Server und Endgeräte in EI- und öffentlichen Netzwerken mit erstklassigen Sicherheitskontrollen. Diese Kontrollen umfassen Next-Generation-Firewalls, Next-Generation-Antivirus/-Antimalware, Web-Sicherheit, E-Mail-Sicherheit und Intrusion-Detection-Systeme. Dies ermöglicht es EI, bösartige Netzwerkangriffe zu verhindern, den Zugriff auf verdächtige oder bösartige Sites zu blockieren, bösartige E-Mails oder Anhänge zu verhindern und Zero-Day-Angriffe abzumildern.

Lieferantenmanagement

ERBESSD INSTRUMENTS® bewertet potenzielle Lieferanten anhand einer Reihe von Kriterien, um angemessene Sicherheitsstandards zu gewährleisten, bevor einem Lieferanten Systemzugang gewährt oder Systeme in Betrieb genommen werden. Verträge und Datenverarbeitungsvereinbarungen werden vor der Unterzeichnung von den Teams für Informationssicherheit, Datenschutz und Recht geprüft. Die Sicherheitslage der wichtigsten Lieferanten wird regelmäßig überprüft.