vault backup: 2026-05-28 10:42:14
This commit is contained in:
gtamint committed
1 parent
74b29b6a55
commit
1bda43777f
16 files changed
+184
-248
No files matched your search
@@ -9,10 +9,14 @@ Das Arbeitsgerät muss folgende Anforderungen erfüllen:
|
||||
|
||||
- Linux-basiertes Betriebssystem
|
||||
- Festplatte ist verschlüsselt (LUKS)
|
||||
- mit Passwort oder biometrisch geschützt sein
|
||||
- automatisch gesperrt werden
|
||||
- aktuelle Sicherheitsupdates erhalten
|
||||
- bei Verlust oder Diebstahl sofort gemeldet werden
|
||||
|
||||
## Benutzer
|
||||
|
||||
Der Benutzer-Account auf dem Laptop:
|
||||
Bei privaten Geräten ist für die geschäftliche Nutzung nach Möglichkeit ein getrenntes Benutzerkonto zu verwenden. Der Benutzer-Account auf dem Laptop:
|
||||
|
||||
- Ist mit einem Passwort geschützt
|
||||
- Muss Root-Rechte zur Installation von Software haben
|
||||
@@ -6,4 +6,17 @@ draft: true
|
||||
---
|
||||
|
||||
> **Hinweis:** Diese Richtlinie ist noch **nicht final** und befindet sich aktuell im **Entwurfsstatus**.
|
||||
> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden.
|
||||
> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden.
|
||||
|
||||
Neue Cloud- oder SaaS-Dienste für die Arbeit dürfen nur eingesetzt werden, wenn sie geprüft und freigegeben wurden.
|
||||
|
||||
Bei der Auswahl ist insbesondere zu beachten:
|
||||
|
||||
- Art der bearbeiteten Daten
|
||||
- Speicherort der Daten
|
||||
- Zugriffsmöglichkeiten für Dritte
|
||||
- Sicherung, Wiederherstellung und Export
|
||||
- Authentifizierung und Berechtigungen
|
||||
- Logging, Monitoring und Datenlöschung bei Beendigung des Dienstes
|
||||
|
||||
Kunden- und Personendaten dürfen nur in freigegebenen Diensten bearbeitet werden.
|
||||
@@ -6,4 +6,8 @@ draft: true
|
||||
---
|
||||
|
||||
> **Hinweis:** Diese Richtlinie ist noch **nicht final** und befindet sich aktuell im **Entwurfsstatus**.
|
||||
> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden.
|
||||
> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden.
|
||||
|
||||
Daten sind nach gesetzlichen, vertraglichen und internen Vorgaben zu löschen, zu archivieren oder aufzubewahren.
|
||||
|
||||
Datenträger, Geräte und Ausdrucke mit geschäftlichen Informationen sind vor Wiederverwendung, Rückgabe oder Entsorgung sicher zu löschen oder zu vernichten.
|
||||
@@ -4,7 +4,16 @@ kind: explain
|
||||
section: policy
|
||||
---
|
||||
|
||||
[[DMS]] der Mint System.
|
||||
[[DMS]] der Mint System.
|
||||
|
||||
Dokumente müssen an der vorgesehenen Stelle abgelegt und gemäss Schutzbedarf behandelt werden.
|
||||
|
||||
Es gelten folgende Grundsätze:
|
||||
|
||||
- keine unkontrollierten Kopien vertraulicher Dokumente erstellen
|
||||
- Dokumente nur in freigegebenen Ablagen speichern
|
||||
- Freigaben an Externe gezielt und nachvollziehbar erteilen
|
||||
- Archive, Input-, Output- und tmp-Ordner gemäss Vorgaben verwenden
|
||||
|
||||
## Ablagestruktur
|
||||
|
||||
|
||||
@@ -1,236 +0,0 @@
|
||||
---
|
||||
title: Richtlinie - IT-Sicherheit
|
||||
kind: explain
|
||||
section: policy
|
||||
draft: true
|
||||
---
|
||||
|
||||
> **Hinweis:** Diese Richtlinie ist noch **nicht final** und befindet sich aktuell im **Entwurfsstatus**.
|
||||
> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden.
|
||||
|
||||
## Grundsatz
|
||||
Informationen, Systeme und Zugänge der Mint System GmbH sind so zu schützen, dass Vertraulichkeit, Integrität und Verfügbarkeit jederzeit gewährleistet sind.
|
||||
|
||||
Sicherheitsmassnahmen müssen angemessen, wirksam und im Arbeitsalltag umsetzbar sein
|
||||
|
||||
## Geltungsbereich und Verantworlichkeit
|
||||
|
||||
Diese Richtlinie gilt für:
|
||||
|
||||
- Mitarbeitende der Mint System GmbH
|
||||
- Freelancer und externe Dienstleister die im Auftrag der Mint System GmbH arbeiten
|
||||
- temporäre Benutzerkonten
|
||||
- Endgeräte, Server, Cloud-Dienste, Netzwerke und Anwendungen
|
||||
- Kunden-, Geschäfts- und Personendaten in digitaler und physischer Form
|
||||
|
||||
Jede Person ist für den sicheren Umgang mit Informationen, Arbeitsmitteln und Zugangsdaten mitverantwortlich.
|
||||
|
||||
Die Geschäftsleitung definiert die Sicherheitsvorgaben. Administratoren setzen technische Schutzmassnahmen um und überwachen deren Einhaltung.
|
||||
|
||||
Für die Einstufung von Informationen sind die jeweiligen fachlich verantwortlichen Personen zuständig.
|
||||
|
||||
Ausnahmen von dieser Richtlinie müssen vorgängig genehmigt und dokumentiert werden.
|
||||
|
||||
## Klassifizierung
|
||||
|
||||
Informationen werden nach Schutzbedarf behandelt.
|
||||
|
||||
Folgende Schutzstufen werden unterschieden:
|
||||
|
||||
- **Öffentlich:** Informationen zur freien Veröffentlichung (z.B. im Mint Wiki)
|
||||
- **Intern:** Informationen nur für Mitarbeitende und berechtigte Dritte (z.B. in der Nextcloud)
|
||||
- **Vertraulich:** Informationen mit erhöhtem Schutzbedarf, insbesondere Kundeninformationen, Vertragsunterlagen, Zugangsdaten und Personendaten
|
||||
|
||||
Ist die Einstufung unklar, wird die Information als vertraulich behandelt.
|
||||
|
||||
Vertrauliche Informationen sind in Dokumenten, Dateien, Nachrichten oder Ablagen entsprechend zu kennzeichnen.
|
||||
|
||||
Weitere Anforderungen sind in der [[Richtlinie - Klassifizierung von Informationen]] geregelt.
|
||||
|
||||
## Zugriff
|
||||
|
||||
Zugriff auf Systeme und Daten wird nur gewährt, wenn dieser für die Aufgabenerfüllung erforderlich ist.
|
||||
|
||||
Es gelten folgende Grundsätze:
|
||||
|
||||
- persönliche Benutzerkonten verwenden
|
||||
- keine Weitergabe von Zugangsdaten
|
||||
- keine gemeinsame Nutzung persönlicher Accounts
|
||||
- Berechtigungen nach dem Prinzip Need to know
|
||||
- Berechtigungen möglichst rollenbasiert vergeben
|
||||
- administrative Tätigkeiten nur mit dafür vorgesehenen Konten
|
||||
|
||||
Nicht mehr benötigte Zugriffe sind umgehend zu entfernen.
|
||||
|
||||
Weitere Anforderungen sind in der [[Richtlinie - Identity und Access Management ]]geregelt.
|
||||
|
||||
## Passwörter und Secrets
|
||||
|
||||
Passwörter und andere Secrets werden ausschliesslich in freigegebenen Passwortmanagern gespeichert.
|
||||
|
||||
Es gelten folgende Regeln:
|
||||
|
||||
- keine Speicherung in Klartextdateien, Notizen oder Chats
|
||||
- keine Weitergabe über ungesicherte Kanäle
|
||||
- keine Wiederverwendung von Passwörtern für mehrere Dienste
|
||||
- technische Zugangsdaten müssen dokumentiert und kontrolliert abgelegt sein
|
||||
|
||||
Weitere Anforderungen sind in der [[Richtlinie - Passwortmanager|Richtlinie - Passwortmanager]] geregelt.
|
||||
|
||||
## Geräte
|
||||
|
||||
Für die Arbeit werden nur freigegebene und ausreichend geschützte Geräte verwendet.
|
||||
|
||||
Geräte müssen:
|
||||
|
||||
- mit Passwort oder biometrisch geschützt sein
|
||||
- automatisch gesperrt werden
|
||||
- aktuelle Sicherheitsupdates erhalten
|
||||
- bei Verlust oder Diebstahl sofort gemeldet werden
|
||||
|
||||
Sicherheitsmechanismen wie Firewall, Monitoring oder Verschlüsselungen dürfen nicht ohne Freigabe deaktiviert werden.
|
||||
|
||||
Private Geräte dürfen verwendet werden, sofern dies mit den Vorgaben der Mint System GmbH vereinbar ist.
|
||||
|
||||
Geschäftliche Daten dürfen nicht unkontrolliert in private Apps, Messenger oder Dateispeicher kopiert werden.
|
||||
|
||||
Bei privaten Geräten ist für die geschäftliche Nutzung nach Möglichkeit ein getrenntes Benutzerkonto zu verwenden.
|
||||
|
||||
Private Geräte, die für geschäftliche Zwecke eingesetzt werden, müssen ebenfalls ausreichend geschützt und mit einer Festplattenverschlüsselung wie LUKS betrieben werden.
|
||||
|
||||
Weitere Anforderungen sind in der [[Richlinie - Arbeitsplatz]] und [[Richtlinie - Smartphone]] geregelt.
|
||||
|
||||
## E-Mail und Kommunikation
|
||||
|
||||
Vertrauliche Informationen dürfen nur über freigegebene Kommunikationskanäle ausgetauscht werden.
|
||||
|
||||
Es gelten folgende Grundsätze:
|
||||
|
||||
- keine Passwörter oder Secrets unverschlüsselt per E-Mail oder Chat versenden
|
||||
- unbekannte Anhänge und Links nicht unüberlegt öffnen
|
||||
- projektbezogene Kommunikation nachvollziehbar im vorgesehenen System führen
|
||||
- vertrauliche Informationen nur an berechtigte Empfänger senden
|
||||
|
||||
Weitere Regeln sind in der [[Richtlinie - Kommunikation]], der [[Richtlinie - E-Mail]] und der [[Richtlinie - Kollaboration]] geregelt.
|
||||
|
||||
## Cloud-Dienste
|
||||
|
||||
Neue Cloud- oder SaaS-Dienste für die Arbeit dürfen nur eingesetzt werden, wenn sie geprüft und freigegeben wurden.
|
||||
|
||||
Bei der Auswahl ist insbesondere zu beachten:
|
||||
|
||||
- Art der bearbeiteten Daten
|
||||
- Speicherort der Daten
|
||||
- Zugriffsmöglichkeiten für Dritte
|
||||
- Sicherung, Wiederherstellung und Export
|
||||
- Authentifizierung und Berechtigungen
|
||||
- Logging, Monitoring und Datenlöschung bei Beendigung des Dienstes
|
||||
|
||||
Kunden- und Personendaten dürfen nur in freigegebenen Diensten bearbeitet werden.
|
||||
|
||||
Weitere Anforderungen sind in der [[Richtlinie - Cloud-Dienste]] geregelt.
|
||||
|
||||
## Dokumente und Ablage
|
||||
|
||||
Dokumente müssen an der vorgesehenen Stelle abgelegt und gemäss Schutzbedarf behandelt werden.
|
||||
|
||||
Es gelten folgende Grundsätze:
|
||||
|
||||
- keine unkontrollierten Kopien vertraulicher Dokumente erstellen
|
||||
- Dokumente nur in freigegebenen Ablagen speichern
|
||||
- Freigaben an Externe gezielt und nachvollziehbar erteilen
|
||||
- Archive, Input-, Output- und tmp-Ordner gemäss Vorgaben verwenden
|
||||
|
||||
Weitere Regeln sind in der [[Richtlinie - Dokumentmanagement]] geregelt.
|
||||
|
||||
## Homeoffice und unterwegs
|
||||
|
||||
Auch ausserhalb des Büros gelten dieselben Sicherheitsanforderungen.
|
||||
|
||||
Insbesondere gilt:
|
||||
|
||||
- Bildschirm vor Einsicht Dritter schützen (z.B. Privacy Folie)
|
||||
- Geräte nicht unbeaufsichtigt offen liegen lassen
|
||||
- öffentliche Netzwerke nur mit ausreichendem Schutz nutzen
|
||||
- Ausdrucke und Notizen mit vertraulichen Inhalten sicher aufbewahren
|
||||
- auf Reisen nur notwendige Daten mitführen
|
||||
|
||||
## Entwicklung und Testsysteme
|
||||
|
||||
Zugangsdaten dürfen nicht im Quellcodeo gespeichert werden.
|
||||
|
||||
Produktive Daten dürfen nicht ungeschützt in Entwicklungs- oder Testumgebungen verwendet werden.
|
||||
|
||||
Testdaten sind wenn möglich zu anonymisieren oder zu maskieren.
|
||||
|
||||
Weitere Regeln sind in der [[Richtlinie - Softwareentwicklung]] geregelt.
|
||||
|
||||
## Physischer Zugang und Besucher
|
||||
|
||||
Zugang zu Büroräumen erhalten nur autorisierte Personen.
|
||||
|
||||
Besucher, Handwerker und andere externe Personen dürfen sich nicht unkontrolliert in internen Bereichen bewegen.
|
||||
|
||||
Externe Personen sind zu begleiten oder gemäss Vorgaben vorab freizugeben.
|
||||
|
||||
Schlüssel, Badges und andere Zutrittsmittel sind persönlich und dürfen nicht weitergegeben werden.
|
||||
|
||||
Weitere Anforderungen sind in der [[Richtlinie - Zutritt und Besucher]] geregelt.
|
||||
|
||||
## Externe Dienstleister
|
||||
|
||||
Externe Dienstleister erhalten nur Zugriff, wenn dies erforderlich, dokumentiert und vertraglich geregelt ist.
|
||||
|
||||
Vor dem Zugriff sind insbesondere zu regeln:
|
||||
|
||||
- Vertraulichkeit
|
||||
- Verantwortlichkeiten
|
||||
- Umfang des Zugriffs
|
||||
- sichere Übermittlung von Zugangsdaten
|
||||
- Beendigung und Entzug des Zugriffs
|
||||
- allfällige Freigaben des Kunden
|
||||
|
||||
Weitere Anforderungen sind in der [[Richtlinie - Lieferanten und externe Dienstleister]] geregelt.
|
||||
|
||||
## Sicherheitsvorfälle
|
||||
|
||||
Sicherheitsvorfälle müssen sofort gemeldet werden.
|
||||
|
||||
Dazu gehören insbesondere:
|
||||
|
||||
- Phishing oder verdächtige E-Mails
|
||||
- Verlust oder Diebstahl von Geräten
|
||||
- Fehlversand vertraulicher Informationen
|
||||
- unberechtigte Zugriffe
|
||||
- Malware-Verdacht
|
||||
- versehentliche Veröffentlichung oder Löschung von Daten
|
||||
- verdächtige Supportanfragen oder Social Engineering
|
||||
|
||||
Sicherheitsvorfälle werden dokumentiert und nachverfolgt.
|
||||
|
||||
Weitere Anforderungen sind in der [[Richtlinie - Sicherheitsvorfälle]] geregelt.
|
||||
|
||||
## Awareness und Schulung
|
||||
|
||||
Mitarbeitende und externe Leistungserbringende müssen in angemessenem Umfang für Informationssicherheit sensibilisiert werden.
|
||||
|
||||
Dazu gehören insbesondere Sensibilisierung zu Phishing, Umgang mit vertraulichen Informationen, Passwortsicherheit und Meldung von Vorfällen.
|
||||
|
||||
Weitere Anforderungen sind in der [[Richtlinie - Security Awareness]]geregelt.
|
||||
|
||||
## Löschung, Entsorgung und Wiederverwendung
|
||||
|
||||
Daten sind nach gesetzlichen, vertraglichen und internen Vorgaben zu löschen, zu archivieren oder aufzubewahren.
|
||||
|
||||
Datenträger, Geräte und Ausdrucke mit geschäftlichen Informationen sind vor Wiederverwendung, Rückgabe oder Entsorgung sicher zu löschen oder zu vernichten.
|
||||
|
||||
Weitere Anforderungen sind in der [[Richtlinie - Datenlöschung und Entsorgung]] geregelt.
|
||||
## Austritt und Rollenwechsel
|
||||
|
||||
Bei Austritt, Funktionswechsel oder Projektende müssen Berechtigungen, Geräte, Schlüssel und Unterlagen umgehend zurückgegeben oder entzogen werden.
|
||||
|
||||
Lokale Kopien geschäftlicher Daten sind zu löschen, soweit keine gesetzliche oder vertragliche Aufbewahrungspflicht besteht.
|
||||
|
||||
## Verstösse
|
||||
|
||||
Verstösse gegen diese Richtlinie können organisatorische, arbeitsrechtliche oder vertragliche Konsequenzen haben.
|
||||
@@ -6,4 +6,17 @@ draft: true
|
||||
---
|
||||
|
||||
> **Hinweis:** Diese Richtlinie ist noch **nicht final** und befindet sich aktuell im **Entwurfsstatus**.
|
||||
> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden.
|
||||
> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden.
|
||||
|
||||
Zugriff auf Systeme und Daten wird nur gewährt, wenn dieser für die Aufgabenerfüllung erforderlich ist.
|
||||
|
||||
Es gelten folgende Grundsätze:
|
||||
|
||||
- persönliche Benutzerkonten verwenden
|
||||
- keine Weitergabe von Zugangsdaten
|
||||
- keine gemeinsame Nutzung persönlicher Accounts
|
||||
- Berechtigungen nach dem Prinzip Need to know
|
||||
- Berechtigungen möglichst rollenbasiert vergeben
|
||||
- administrative Tätigkeiten nur mit dafür vorgesehenen Konten
|
||||
|
||||
Nicht mehr benötigte Zugriffe sind umgehend zu entfernen.
|
||||
@@ -0,0 +1,51 @@
|
||||
---
|
||||
title: Richtlinie - IT-Sicherheit
|
||||
kind: explain
|
||||
section: policy
|
||||
draft: true
|
||||
---
|
||||
|
||||
> **Hinweis:** Diese Richtlinie ist noch **nicht final** und befindet sich aktuell im **Entwurfsstatus**.
|
||||
> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden.
|
||||
|
||||
## Grundsatz
|
||||
|
||||
Informationen, Systeme und Zugänge der Mint System GmbH sind so zu schützen, dass Vertraulichkeit, Integrität und Verfügbarkeit jederzeit gewährleistet sind.
|
||||
|
||||
Sicherheitsmassnahmen müssen angemessen, wirksam und im Arbeitsalltag umsetzbar sein
|
||||
|
||||
## Geltungsbereich und Verantworlichkeit
|
||||
|
||||
Diese Richtlinie gilt für:
|
||||
|
||||
- Mitarbeitende der Mint System GmbH
|
||||
- Freelancer und externe Dienstleister die im Auftrag der Mint System GmbH arbeiten
|
||||
- temporäre Benutzerkonten
|
||||
- Endgeräte, Server, Cloud-Dienste, Netzwerke und Anwendungen
|
||||
- Kunden-, Geschäfts- und Personendaten in digitaler und physischer Form
|
||||
|
||||
Jede Person ist für den sicheren Umgang mit Informationen, Arbeitsmitteln und Zugangsdaten mitverantwortlich.
|
||||
|
||||
Die Geschäftsleitung definiert die Sicherheitsvorgaben. Administratoren setzen technische Schutzmassnahmen um und überwachen deren Einhaltung.
|
||||
|
||||
Für die Einstufung von Informationen sind die jeweiligen fachlich verantwortlichen Personen zuständig.
|
||||
|
||||
Ausnahmen von dieser Richtlinie müssen vorgängig genehmigt und dokumentiert werden.
|
||||
|
||||
## Homeoffice und unterwegs
|
||||
|
||||
Auch ausserhalb des Büros gelten dieselben Sicherheitsanforderungen.
|
||||
|
||||
Insbesondere gilt:
|
||||
|
||||
- Bildschirm vor Einsicht Dritter schützen (z.B. Privacy Folie)
|
||||
- Geräte nicht unbeaufsichtigt offen liegen lassen
|
||||
- öffentliche Netzwerke nur mit ausreichendem Schutz nutzen
|
||||
- Ausdrucke und Notizen mit vertraulichen Inhalten sicher aufbewahren
|
||||
- auf Reisen nur notwendige Daten mitführen
|
||||
|
||||
## Austritt und Rollenwechsel
|
||||
|
||||
Bei Austritt, Funktionswechsel oder Projektende müssen Berechtigungen, Geräte, Schlüssel und Unterlagen umgehend zurückgegeben oder entzogen werden.
|
||||
|
||||
Lokale Kopien geschäftlicher Daten sind zu löschen, soweit keine gesetzliche oder vertragliche Aufbewahrungspflicht besteht.
|
||||
@@ -6,4 +6,16 @@ draft: true
|
||||
---
|
||||
|
||||
> **Hinweis:** Diese Richtlinie ist noch **nicht final** und befindet sich aktuell im **Entwurfsstatus**.
|
||||
> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden.
|
||||
> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden.
|
||||
|
||||
Informationen werden nach Schutzbedarf behandelt.
|
||||
|
||||
Folgende Schutzstufen werden unterschieden:
|
||||
|
||||
- **Öffentlich:** Informationen zur freien Veröffentlichung (z.B. im Mint Wiki)
|
||||
- **Intern:** Informationen nur für Mitarbeitende und berechtigte Dritte (z.B. in der Nextcloud)
|
||||
- **Vertraulich:** Informationen mit erhöhtem Schutzbedarf, insbesondere Kundeninformationen, Vertragsunterlagen, Zugangsdaten und Personendaten
|
||||
|
||||
Ist die Einstufung unklar, wird die Information als vertraulich behandelt.
|
||||
|
||||
Vertrauliche Informationen sind in Dokumenten, Dateien, Nachrichten oder Ablagen entsprechend zu kennzeichnen.
|
||||
@@ -8,6 +8,15 @@ Regelt die Art und Weise wie wir kommunizieren.
|
||||
|
||||
Wir unterscheiden zwischen interner und externer Kommunikation.
|
||||
|
||||
Vertrauliche Informationen dürfen nur über freigegebene Kommunikationskanäle ausgetauscht werden.
|
||||
|
||||
Es gelten folgende Grundsätze:
|
||||
|
||||
- keine Passwörter oder Secrets per E-Mail oder Chat versenden
|
||||
- unbekannte Anhänge und Links nicht unüberlegt öffnen
|
||||
- projektbezogene Kommunikation nachvollziehbar im vorgesehenen System führen
|
||||
- vertrauliche Informationen nur an berechtigte Empfänger senden
|
||||
|
||||
## Instant Messaging
|
||||
|
||||
Für die interne Kommunikation verwenden wir den Odoo Dialog und die folgenden Kanäle:
|
||||
@@ -32,4 +41,5 @@ Der Projektbezogenen-Austausch muss für alle beteiligten nachvollziehbar sein.
|
||||
|
||||
## Matrix
|
||||
|
||||
Wir haben einen [[Chat Mint System]] im Einsatz. Der Server bietet Raum zur Kommunikation mit der Open-Source-Community.
|
||||
Wir haben einen [[Chat Mint System]] im Einsatz. Der Server bietet Raum zur Kommunikation mit der Open-Source-Community.
|
||||
|
||||
@@ -6,4 +6,16 @@ draft: true
|
||||
---
|
||||
|
||||
> **Hinweis:** Diese Richtlinie ist noch **nicht final** und befindet sich aktuell im **Entwurfsstatus**.
|
||||
> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden.
|
||||
> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden.
|
||||
|
||||
|
||||
Externe Dienstleister erhalten nur Zugriff, wenn dies erforderlich, dokumentiert und vertraglich geregelt ist.
|
||||
|
||||
Vor dem Zugriff sind insbesondere zu regeln:
|
||||
|
||||
- Vertraulichkeit
|
||||
- Verantwortlichkeiten
|
||||
- Umfang des Zugriffs
|
||||
- sichere Übermittlung von Zugangsdaten
|
||||
- Beendigung und Entzug des Zugriffs
|
||||
- allfällige Freigaben des Kunden
|
||||
@@ -10,6 +10,13 @@ Intern werden alle Passwörter mit [[KeePassXC]] gespeichert.
|
||||
|
||||
Wenn Passwörter mit Externen geteilt werden müssen, werden Sie in [[Nextcloud Passwords]] als Duplikate erfasst.
|
||||
|
||||
Es gelten zusätzlich folgende Grundsätzte:
|
||||
|
||||
- keine Speicherung in Klartextdateien, Notizen oder Chats
|
||||
- keine Weitergabe über ungesicherte Kanäle
|
||||
- keine Wiederverwendung von Passwörtern für mehrere Dienste
|
||||
- technische Zugangsdaten müssen dokumentiert und kontrolliert abgelegt sein
|
||||
|
||||
## Anforderungen
|
||||
|
||||
Ein Passwort muss 40 Zeichen lang sein und alphanumerische Zeichen enthalten.
|
||||
|
||||
@@ -6,4 +6,8 @@ draft: true
|
||||
---
|
||||
|
||||
> **Hinweis:** Diese Richtlinie ist noch **nicht final** und befindet sich aktuell im **Entwurfsstatus**.
|
||||
> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden.
|
||||
> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden.
|
||||
|
||||
Mitarbeitende und externe Leistungserbringende müssen in angemessenem Umfang für Informationssicherheit sensibilisiert werden.
|
||||
|
||||
Dazu gehören insbesondere Sensibilisierung zu Phishing, Umgang mit vertraulichen Informationen, Passwortsicherheit und Meldung von Vorfällen.
|
||||
@@ -6,4 +6,18 @@ draft: true
|
||||
---
|
||||
|
||||
> **Hinweis:** Diese Richtlinie ist noch **nicht final** und befindet sich aktuell im **Entwurfsstatus**.
|
||||
> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden.
|
||||
> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden.
|
||||
|
||||
Sicherheitsvorfälle müssen sofort gemeldet werden.
|
||||
|
||||
Dazu gehören insbesondere:
|
||||
|
||||
- Phishing oder verdächtige E-Mails
|
||||
- Verlust oder Diebstahl von Geräten
|
||||
- Fehlversand vertraulicher Informationen
|
||||
- unberechtigte Zugriffe
|
||||
- Malware-Verdacht
|
||||
- versehentliche Veröffentlichung oder Löschung von Daten
|
||||
- verdächtige Supportanfragen oder Social Engineering
|
||||
|
||||
Sicherheitsvorfälle werden dokumentiert und nachverfolgt.
|
||||
@@ -4,6 +4,10 @@ kind: explain
|
||||
section: policy
|
||||
---
|
||||
|
||||
Zugangsdaten dürfen nicht im Quellcode gespeichert werden.
|
||||
|
||||
Produktive Daten dürfen nicht ungeschützt in Entwicklungs- oder Testumgebungen verwendet werden.
|
||||
|
||||
## Versionierung
|
||||
|
||||
Wir orientieren uns bei der Versionierung von Software an [[Semantic Versioning]].
|
||||
|
||||
@@ -6,4 +6,12 @@ draft: true
|
||||
---
|
||||
|
||||
> **Hinweis:** Diese Richtlinie ist noch **nicht final** und befindet sich aktuell im **Entwurfsstatus**.
|
||||
> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden.
|
||||
> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden.
|
||||
|
||||
Zugang zu Büroräumen erhalten nur autorisierte Personen.
|
||||
|
||||
Besucher, Handwerker und andere externe Personen dürfen sich nicht unkontrolliert in internen Bereichen bewegen.
|
||||
|
||||
Externe Personen sind zu begleiten oder gemäss Vorgaben vorab freizugeben.
|
||||
|
||||
Schlüssel, Badges und andere Zutrittsmittel sind persönlich und dürfen nicht weitergegeben werden.
|
||||
+8
-1
@@ -58,5 +58,12 @@ Richtlinien der Mint System.
|
||||
|
||||
## IT-Sicherheit
|
||||
|
||||
- [[Richtlinie - Informationssicherheit]]
|
||||
- [[Richtlinie - Cloud-Dienste]]
|
||||
- ...
|
||||
- [[Richtlinie - Datenlöschung und Entsorgung]]
|
||||
- [[Richtlinie - Identity und Access Management]]
|
||||
- [[Richtlinie - Klassifizierung von Informationen]]
|
||||
- [[Richtlinie - Lieferanten und externe Dienstleister]]
|
||||
- [[Richtlinie - Security Awareness]]
|
||||
- [[Richtlinie - Sicherheitsvorfälle]]
|
||||
- [[Richtlinie - Zutritt und Besucher]]
|
||||
Reference in new issue
Block a user