diff --git a/Richlinie - Arbeitsplatz.md b/Richlinie - Arbeitsplatz.md index 87a99f53..55368a45 100644 --- a/Richlinie - Arbeitsplatz.md +++ b/Richlinie - Arbeitsplatz.md @@ -9,10 +9,14 @@ Das Arbeitsgerät muss folgende Anforderungen erfüllen: - Linux-basiertes Betriebssystem - Festplatte ist verschlüsselt (LUKS) +- mit Passwort oder biometrisch geschützt sein +- automatisch gesperrt werden +- aktuelle Sicherheitsupdates erhalten +- bei Verlust oder Diebstahl sofort gemeldet werden ## Benutzer -Der Benutzer-Account auf dem Laptop: +Bei privaten Geräten ist für die geschäftliche Nutzung nach Möglichkeit ein getrenntes Benutzerkonto zu verwenden. Der Benutzer-Account auf dem Laptop: - Ist mit einem Passwort geschützt - Muss Root-Rechte zur Installation von Software haben \ No newline at end of file diff --git a/Richtlinie - Cloud-Dienste.md b/Richtlinie - Cloud-Dienste.md index 758cbc47..e6f86c95 100644 --- a/Richtlinie - Cloud-Dienste.md +++ b/Richtlinie - Cloud-Dienste.md @@ -6,4 +6,17 @@ draft: true --- > **Hinweis:** Diese Richtlinie ist noch **nicht final** und befindet sich aktuell im **Entwurfsstatus**. -> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden. \ No newline at end of file +> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden. + +Neue Cloud- oder SaaS-Dienste für die Arbeit dürfen nur eingesetzt werden, wenn sie geprüft und freigegeben wurden. + +Bei der Auswahl ist insbesondere zu beachten: + +- Art der bearbeiteten Daten +- Speicherort der Daten +- Zugriffsmöglichkeiten für Dritte +- Sicherung, Wiederherstellung und Export +- Authentifizierung und Berechtigungen +- Logging, Monitoring und Datenlöschung bei Beendigung des Dienstes + +Kunden- und Personendaten dürfen nur in freigegebenen Diensten bearbeitet werden. diff --git a/Richtlinie - Datenlöschung und Entsorgung.md b/Richtlinie - Datenlöschung und Entsorgung.md index 8a8f481e..c2151340 100644 --- a/Richtlinie - Datenlöschung und Entsorgung.md +++ b/Richtlinie - Datenlöschung und Entsorgung.md @@ -6,4 +6,8 @@ draft: true --- > **Hinweis:** Diese Richtlinie ist noch **nicht final** und befindet sich aktuell im **Entwurfsstatus**. -> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden. \ No newline at end of file +> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden. + +Daten sind nach gesetzlichen, vertraglichen und internen Vorgaben zu löschen, zu archivieren oder aufzubewahren. + +Datenträger, Geräte und Ausdrucke mit geschäftlichen Informationen sind vor Wiederverwendung, Rückgabe oder Entsorgung sicher zu löschen oder zu vernichten. \ No newline at end of file diff --git a/Richtlinie - Dokumentmanagement.md b/Richtlinie - Dokumentmanagement.md index 40776835..5c8b65a5 100644 --- a/Richtlinie - Dokumentmanagement.md +++ b/Richtlinie - Dokumentmanagement.md @@ -4,7 +4,16 @@ kind: explain section: policy --- -[[DMS]] der Mint System. +[[DMS]] der Mint System. + +Dokumente müssen an der vorgesehenen Stelle abgelegt und gemäss Schutzbedarf behandelt werden. + +Es gelten folgende Grundsätze: + +- keine unkontrollierten Kopien vertraulicher Dokumente erstellen +- Dokumente nur in freigegebenen Ablagen speichern +- Freigaben an Externe gezielt und nachvollziehbar erteilen +- Archive, Input-, Output- und tmp-Ordner gemäss Vorgaben verwenden ## Ablagestruktur diff --git a/Richtlinie - IT-Sicherheit.md b/Richtlinie - IT-Sicherheit.md deleted file mode 100644 index 73db8c8a..00000000 --- a/Richtlinie - IT-Sicherheit.md +++ /dev/null @@ -1,236 +0,0 @@ ---- -title: Richtlinie - IT-Sicherheit -kind: explain -section: policy -draft: true ---- - -> **Hinweis:** Diese Richtlinie ist noch **nicht final** und befindet sich aktuell im **Entwurfsstatus**. -> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden. - -## Grundsatz -Informationen, Systeme und Zugänge der Mint System GmbH sind so zu schützen, dass Vertraulichkeit, Integrität und Verfügbarkeit jederzeit gewährleistet sind. - -Sicherheitsmassnahmen müssen angemessen, wirksam und im Arbeitsalltag umsetzbar sein - -## Geltungsbereich und Verantworlichkeit - -Diese Richtlinie gilt für: - -- Mitarbeitende der Mint System GmbH -- Freelancer und externe Dienstleister die im Auftrag der Mint System GmbH arbeiten -- temporäre Benutzerkonten -- Endgeräte, Server, Cloud-Dienste, Netzwerke und Anwendungen -- Kunden-, Geschäfts- und Personendaten in digitaler und physischer Form - -Jede Person ist für den sicheren Umgang mit Informationen, Arbeitsmitteln und Zugangsdaten mitverantwortlich. - -Die Geschäftsleitung definiert die Sicherheitsvorgaben. Administratoren setzen technische Schutzmassnahmen um und überwachen deren Einhaltung. - -Für die Einstufung von Informationen sind die jeweiligen fachlich verantwortlichen Personen zuständig. - -Ausnahmen von dieser Richtlinie müssen vorgängig genehmigt und dokumentiert werden. - -## Klassifizierung - -Informationen werden nach Schutzbedarf behandelt. - -Folgende Schutzstufen werden unterschieden: - -- **Öffentlich:** Informationen zur freien Veröffentlichung (z.B. im Mint Wiki) -- **Intern:** Informationen nur für Mitarbeitende und berechtigte Dritte (z.B. in der Nextcloud) -- **Vertraulich:** Informationen mit erhöhtem Schutzbedarf, insbesondere Kundeninformationen, Vertragsunterlagen, Zugangsdaten und Personendaten - -Ist die Einstufung unklar, wird die Information als vertraulich behandelt. - -Vertrauliche Informationen sind in Dokumenten, Dateien, Nachrichten oder Ablagen entsprechend zu kennzeichnen. - -Weitere Anforderungen sind in der [[Richtlinie - Klassifizierung von Informationen]] geregelt. - -## Zugriff - -Zugriff auf Systeme und Daten wird nur gewährt, wenn dieser für die Aufgabenerfüllung erforderlich ist. - -Es gelten folgende Grundsätze: - -- persönliche Benutzerkonten verwenden -- keine Weitergabe von Zugangsdaten -- keine gemeinsame Nutzung persönlicher Accounts -- Berechtigungen nach dem Prinzip Need to know -- Berechtigungen möglichst rollenbasiert vergeben -- administrative Tätigkeiten nur mit dafür vorgesehenen Konten - -Nicht mehr benötigte Zugriffe sind umgehend zu entfernen. - -Weitere Anforderungen sind in der [[Richtlinie - Identity und Access Management ]]geregelt. - -## Passwörter und Secrets - -Passwörter und andere Secrets werden ausschliesslich in freigegebenen Passwortmanagern gespeichert. - -Es gelten folgende Regeln: - -- keine Speicherung in Klartextdateien, Notizen oder Chats -- keine Weitergabe über ungesicherte Kanäle -- keine Wiederverwendung von Passwörtern für mehrere Dienste -- technische Zugangsdaten müssen dokumentiert und kontrolliert abgelegt sein - -Weitere Anforderungen sind in der [[Richtlinie - Passwortmanager|Richtlinie - Passwortmanager]] geregelt. - -## Geräte - -Für die Arbeit werden nur freigegebene und ausreichend geschützte Geräte verwendet. - -Geräte müssen: - -- mit Passwort oder biometrisch geschützt sein -- automatisch gesperrt werden -- aktuelle Sicherheitsupdates erhalten -- bei Verlust oder Diebstahl sofort gemeldet werden - -Sicherheitsmechanismen wie Firewall, Monitoring oder Verschlüsselungen dürfen nicht ohne Freigabe deaktiviert werden. - -Private Geräte dürfen verwendet werden, sofern dies mit den Vorgaben der Mint System GmbH vereinbar ist. - -Geschäftliche Daten dürfen nicht unkontrolliert in private Apps, Messenger oder Dateispeicher kopiert werden. - -Bei privaten Geräten ist für die geschäftliche Nutzung nach Möglichkeit ein getrenntes Benutzerkonto zu verwenden. - -Private Geräte, die für geschäftliche Zwecke eingesetzt werden, müssen ebenfalls ausreichend geschützt und mit einer Festplattenverschlüsselung wie LUKS betrieben werden. - -Weitere Anforderungen sind in der [[Richlinie - Arbeitsplatz]] und [[Richtlinie - Smartphone]] geregelt. - -## E-Mail und Kommunikation - -Vertrauliche Informationen dürfen nur über freigegebene Kommunikationskanäle ausgetauscht werden. - -Es gelten folgende Grundsätze: - -- keine Passwörter oder Secrets unverschlüsselt per E-Mail oder Chat versenden -- unbekannte Anhänge und Links nicht unüberlegt öffnen -- projektbezogene Kommunikation nachvollziehbar im vorgesehenen System führen -- vertrauliche Informationen nur an berechtigte Empfänger senden - -Weitere Regeln sind in der [[Richtlinie - Kommunikation]], der [[Richtlinie - E-Mail]] und der [[Richtlinie - Kollaboration]] geregelt. - -## Cloud-Dienste - -Neue Cloud- oder SaaS-Dienste für die Arbeit dürfen nur eingesetzt werden, wenn sie geprüft und freigegeben wurden. - -Bei der Auswahl ist insbesondere zu beachten: - -- Art der bearbeiteten Daten -- Speicherort der Daten -- Zugriffsmöglichkeiten für Dritte -- Sicherung, Wiederherstellung und Export -- Authentifizierung und Berechtigungen -- Logging, Monitoring und Datenlöschung bei Beendigung des Dienstes - -Kunden- und Personendaten dürfen nur in freigegebenen Diensten bearbeitet werden. - -Weitere Anforderungen sind in der [[Richtlinie - Cloud-Dienste]] geregelt. - -## Dokumente und Ablage - -Dokumente müssen an der vorgesehenen Stelle abgelegt und gemäss Schutzbedarf behandelt werden. - -Es gelten folgende Grundsätze: - -- keine unkontrollierten Kopien vertraulicher Dokumente erstellen -- Dokumente nur in freigegebenen Ablagen speichern -- Freigaben an Externe gezielt und nachvollziehbar erteilen -- Archive, Input-, Output- und tmp-Ordner gemäss Vorgaben verwenden - -Weitere Regeln sind in der [[Richtlinie - Dokumentmanagement]] geregelt. - -## Homeoffice und unterwegs - -Auch ausserhalb des Büros gelten dieselben Sicherheitsanforderungen. - -Insbesondere gilt: - -- Bildschirm vor Einsicht Dritter schützen (z.B. Privacy Folie) -- Geräte nicht unbeaufsichtigt offen liegen lassen -- öffentliche Netzwerke nur mit ausreichendem Schutz nutzen -- Ausdrucke und Notizen mit vertraulichen Inhalten sicher aufbewahren -- auf Reisen nur notwendige Daten mitführen - -## Entwicklung und Testsysteme - -Zugangsdaten dürfen nicht im Quellcodeo gespeichert werden. - -Produktive Daten dürfen nicht ungeschützt in Entwicklungs- oder Testumgebungen verwendet werden. - -Testdaten sind wenn möglich zu anonymisieren oder zu maskieren. - -Weitere Regeln sind in der [[Richtlinie - Softwareentwicklung]] geregelt. - -## Physischer Zugang und Besucher - -Zugang zu Büroräumen erhalten nur autorisierte Personen. - -Besucher, Handwerker und andere externe Personen dürfen sich nicht unkontrolliert in internen Bereichen bewegen. - -Externe Personen sind zu begleiten oder gemäss Vorgaben vorab freizugeben. - -Schlüssel, Badges und andere Zutrittsmittel sind persönlich und dürfen nicht weitergegeben werden. - -Weitere Anforderungen sind in der [[Richtlinie - Zutritt und Besucher]] geregelt. - -## Externe Dienstleister - -Externe Dienstleister erhalten nur Zugriff, wenn dies erforderlich, dokumentiert und vertraglich geregelt ist. - -Vor dem Zugriff sind insbesondere zu regeln: - -- Vertraulichkeit -- Verantwortlichkeiten -- Umfang des Zugriffs -- sichere Übermittlung von Zugangsdaten -- Beendigung und Entzug des Zugriffs -- allfällige Freigaben des Kunden - -Weitere Anforderungen sind in der [[Richtlinie - Lieferanten und externe Dienstleister]] geregelt. - -## Sicherheitsvorfälle - -Sicherheitsvorfälle müssen sofort gemeldet werden. - -Dazu gehören insbesondere: - -- Phishing oder verdächtige E-Mails -- Verlust oder Diebstahl von Geräten -- Fehlversand vertraulicher Informationen -- unberechtigte Zugriffe -- Malware-Verdacht -- versehentliche Veröffentlichung oder Löschung von Daten -- verdächtige Supportanfragen oder Social Engineering - -Sicherheitsvorfälle werden dokumentiert und nachverfolgt. - -Weitere Anforderungen sind in der [[Richtlinie - Sicherheitsvorfälle]] geregelt. - -## Awareness und Schulung - -Mitarbeitende und externe Leistungserbringende müssen in angemessenem Umfang für Informationssicherheit sensibilisiert werden. - -Dazu gehören insbesondere Sensibilisierung zu Phishing, Umgang mit vertraulichen Informationen, Passwortsicherheit und Meldung von Vorfällen. - -Weitere Anforderungen sind in der [[Richtlinie - Security Awareness]]geregelt. - -## Löschung, Entsorgung und Wiederverwendung - -Daten sind nach gesetzlichen, vertraglichen und internen Vorgaben zu löschen, zu archivieren oder aufzubewahren. - -Datenträger, Geräte und Ausdrucke mit geschäftlichen Informationen sind vor Wiederverwendung, Rückgabe oder Entsorgung sicher zu löschen oder zu vernichten. - -Weitere Anforderungen sind in der [[Richtlinie - Datenlöschung und Entsorgung]] geregelt. -## Austritt und Rollenwechsel - -Bei Austritt, Funktionswechsel oder Projektende müssen Berechtigungen, Geräte, Schlüssel und Unterlagen umgehend zurückgegeben oder entzogen werden. - -Lokale Kopien geschäftlicher Daten sind zu löschen, soweit keine gesetzliche oder vertragliche Aufbewahrungspflicht besteht. - -## Verstösse - -Verstösse gegen diese Richtlinie können organisatorische, arbeitsrechtliche oder vertragliche Konsequenzen haben. \ No newline at end of file diff --git a/Richtlinie - Identity und Access Management.md b/Richtlinie - Identity und Access Management.md index d40cc164..b73a5083 100644 --- a/Richtlinie - Identity und Access Management.md +++ b/Richtlinie - Identity und Access Management.md @@ -6,4 +6,17 @@ draft: true --- > **Hinweis:** Diese Richtlinie ist noch **nicht final** und befindet sich aktuell im **Entwurfsstatus**. -> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden. \ No newline at end of file +> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden. + +Zugriff auf Systeme und Daten wird nur gewährt, wenn dieser für die Aufgabenerfüllung erforderlich ist. + +Es gelten folgende Grundsätze: + +- persönliche Benutzerkonten verwenden +- keine Weitergabe von Zugangsdaten +- keine gemeinsame Nutzung persönlicher Accounts +- Berechtigungen nach dem Prinzip Need to know +- Berechtigungen möglichst rollenbasiert vergeben +- administrative Tätigkeiten nur mit dafür vorgesehenen Konten + +Nicht mehr benötigte Zugriffe sind umgehend zu entfernen. \ No newline at end of file diff --git a/Richtlinie - Informationssicherheit.md b/Richtlinie - Informationssicherheit.md new file mode 100644 index 00000000..1617c04a --- /dev/null +++ b/Richtlinie - Informationssicherheit.md @@ -0,0 +1,51 @@ +--- +title: Richtlinie - IT-Sicherheit +kind: explain +section: policy +draft: true +--- + +> **Hinweis:** Diese Richtlinie ist noch **nicht final** und befindet sich aktuell im **Entwurfsstatus**. +> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden. + +## Grundsatz + +Informationen, Systeme und Zugänge der Mint System GmbH sind so zu schützen, dass Vertraulichkeit, Integrität und Verfügbarkeit jederzeit gewährleistet sind. + +Sicherheitsmassnahmen müssen angemessen, wirksam und im Arbeitsalltag umsetzbar sein + +## Geltungsbereich und Verantworlichkeit + +Diese Richtlinie gilt für: + +- Mitarbeitende der Mint System GmbH +- Freelancer und externe Dienstleister die im Auftrag der Mint System GmbH arbeiten +- temporäre Benutzerkonten +- Endgeräte, Server, Cloud-Dienste, Netzwerke und Anwendungen +- Kunden-, Geschäfts- und Personendaten in digitaler und physischer Form + +Jede Person ist für den sicheren Umgang mit Informationen, Arbeitsmitteln und Zugangsdaten mitverantwortlich. + +Die Geschäftsleitung definiert die Sicherheitsvorgaben. Administratoren setzen technische Schutzmassnahmen um und überwachen deren Einhaltung. + +Für die Einstufung von Informationen sind die jeweiligen fachlich verantwortlichen Personen zuständig. + +Ausnahmen von dieser Richtlinie müssen vorgängig genehmigt und dokumentiert werden. + +## Homeoffice und unterwegs + +Auch ausserhalb des Büros gelten dieselben Sicherheitsanforderungen. + +Insbesondere gilt: + +- Bildschirm vor Einsicht Dritter schützen (z.B. Privacy Folie) +- Geräte nicht unbeaufsichtigt offen liegen lassen +- öffentliche Netzwerke nur mit ausreichendem Schutz nutzen +- Ausdrucke und Notizen mit vertraulichen Inhalten sicher aufbewahren +- auf Reisen nur notwendige Daten mitführen + +## Austritt und Rollenwechsel + +Bei Austritt, Funktionswechsel oder Projektende müssen Berechtigungen, Geräte, Schlüssel und Unterlagen umgehend zurückgegeben oder entzogen werden. + +Lokale Kopien geschäftlicher Daten sind zu löschen, soweit keine gesetzliche oder vertragliche Aufbewahrungspflicht besteht. \ No newline at end of file diff --git a/Richtlinie - Klassifizierung von Informationen.md b/Richtlinie - Klassifizierung von Informationen.md index 01b67e9d..8fe432c0 100644 --- a/Richtlinie - Klassifizierung von Informationen.md +++ b/Richtlinie - Klassifizierung von Informationen.md @@ -6,4 +6,16 @@ draft: true --- > **Hinweis:** Diese Richtlinie ist noch **nicht final** und befindet sich aktuell im **Entwurfsstatus**. -> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden. \ No newline at end of file +> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden. + +Informationen werden nach Schutzbedarf behandelt. + +Folgende Schutzstufen werden unterschieden: + +- **Öffentlich:** Informationen zur freien Veröffentlichung (z.B. im Mint Wiki) +- **Intern:** Informationen nur für Mitarbeitende und berechtigte Dritte (z.B. in der Nextcloud) +- **Vertraulich:** Informationen mit erhöhtem Schutzbedarf, insbesondere Kundeninformationen, Vertragsunterlagen, Zugangsdaten und Personendaten + +Ist die Einstufung unklar, wird die Information als vertraulich behandelt. + +Vertrauliche Informationen sind in Dokumenten, Dateien, Nachrichten oder Ablagen entsprechend zu kennzeichnen. \ No newline at end of file diff --git a/Richtlinie - Kommunikation.md b/Richtlinie - Kommunikation.md index a0101695..136ff93e 100644 --- a/Richtlinie - Kommunikation.md +++ b/Richtlinie - Kommunikation.md @@ -8,6 +8,15 @@ Regelt die Art und Weise wie wir kommunizieren. Wir unterscheiden zwischen interner und externer Kommunikation. +Vertrauliche Informationen dürfen nur über freigegebene Kommunikationskanäle ausgetauscht werden. + +Es gelten folgende Grundsätze: + +- keine Passwörter oder Secrets per E-Mail oder Chat versenden +- unbekannte Anhänge und Links nicht unüberlegt öffnen +- projektbezogene Kommunikation nachvollziehbar im vorgesehenen System führen +- vertrauliche Informationen nur an berechtigte Empfänger senden + ## Instant Messaging Für die interne Kommunikation verwenden wir den Odoo Dialog und die folgenden Kanäle: @@ -32,4 +41,5 @@ Der Projektbezogenen-Austausch muss für alle beteiligten nachvollziehbar sein. ## Matrix -Wir haben einen [[Chat Mint System]] im Einsatz. Der Server bietet Raum zur Kommunikation mit der Open-Source-Community. \ No newline at end of file +Wir haben einen [[Chat Mint System]] im Einsatz. Der Server bietet Raum zur Kommunikation mit der Open-Source-Community. + diff --git a/Richtlinie - Lieferanten und externe Dienstleister.md b/Richtlinie - Lieferanten und externe Dienstleister.md index ea7a4b1b..f3f51763 100644 --- a/Richtlinie - Lieferanten und externe Dienstleister.md +++ b/Richtlinie - Lieferanten und externe Dienstleister.md @@ -6,4 +6,16 @@ draft: true --- > **Hinweis:** Diese Richtlinie ist noch **nicht final** und befindet sich aktuell im **Entwurfsstatus**. -> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden. \ No newline at end of file +> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden. + + +Externe Dienstleister erhalten nur Zugriff, wenn dies erforderlich, dokumentiert und vertraglich geregelt ist. + +Vor dem Zugriff sind insbesondere zu regeln: + +- Vertraulichkeit +- Verantwortlichkeiten +- Umfang des Zugriffs +- sichere Übermittlung von Zugangsdaten +- Beendigung und Entzug des Zugriffs +- allfällige Freigaben des Kunden \ No newline at end of file diff --git a/Richtlinie - Passwortmanager.md b/Richtlinie - Passwortmanager.md index 00592536..14e03143 100644 --- a/Richtlinie - Passwortmanager.md +++ b/Richtlinie - Passwortmanager.md @@ -10,6 +10,13 @@ Intern werden alle Passwörter mit [[KeePassXC]] gespeichert. Wenn Passwörter mit Externen geteilt werden müssen, werden Sie in [[Nextcloud Passwords]] als Duplikate erfasst. +Es gelten zusätzlich folgende Grundsätzte: + +- keine Speicherung in Klartextdateien, Notizen oder Chats +- keine Weitergabe über ungesicherte Kanäle +- keine Wiederverwendung von Passwörtern für mehrere Dienste +- technische Zugangsdaten müssen dokumentiert und kontrolliert abgelegt sein + ## Anforderungen Ein Passwort muss 40 Zeichen lang sein und alphanumerische Zeichen enthalten. diff --git a/Richtlinie - Security Awareness.md b/Richtlinie - Security Awareness.md index ddd67b5d..f952662a 100644 --- a/Richtlinie - Security Awareness.md +++ b/Richtlinie - Security Awareness.md @@ -6,4 +6,8 @@ draft: true --- > **Hinweis:** Diese Richtlinie ist noch **nicht final** und befindet sich aktuell im **Entwurfsstatus**. -> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden. \ No newline at end of file +> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden. + +Mitarbeitende und externe Leistungserbringende müssen in angemessenem Umfang für Informationssicherheit sensibilisiert werden. + +Dazu gehören insbesondere Sensibilisierung zu Phishing, Umgang mit vertraulichen Informationen, Passwortsicherheit und Meldung von Vorfällen. \ No newline at end of file diff --git a/Richtlinie - Sicherheitsvorfälle.md b/Richtlinie - Sicherheitsvorfälle.md index f6317da2..93e023c6 100644 --- a/Richtlinie - Sicherheitsvorfälle.md +++ b/Richtlinie - Sicherheitsvorfälle.md @@ -6,4 +6,18 @@ draft: true --- > **Hinweis:** Diese Richtlinie ist noch **nicht final** und befindet sich aktuell im **Entwurfsstatus**. -> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden. \ No newline at end of file +> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden. + +Sicherheitsvorfälle müssen sofort gemeldet werden. + +Dazu gehören insbesondere: + +- Phishing oder verdächtige E-Mails +- Verlust oder Diebstahl von Geräten +- Fehlversand vertraulicher Informationen +- unberechtigte Zugriffe +- Malware-Verdacht +- versehentliche Veröffentlichung oder Löschung von Daten +- verdächtige Supportanfragen oder Social Engineering + +Sicherheitsvorfälle werden dokumentiert und nachverfolgt. \ No newline at end of file diff --git a/Richtlinie - Softwareentwicklung.md b/Richtlinie - Softwareentwicklung.md index e6117d99..c7972369 100644 --- a/Richtlinie - Softwareentwicklung.md +++ b/Richtlinie - Softwareentwicklung.md @@ -4,6 +4,10 @@ kind: explain section: policy --- +Zugangsdaten dürfen nicht im Quellcode gespeichert werden. + +Produktive Daten dürfen nicht ungeschützt in Entwicklungs- oder Testumgebungen verwendet werden. + ## Versionierung Wir orientieren uns bei der Versionierung von Software an [[Semantic Versioning]]. diff --git a/Richtlinie - Zutritt und Besucher.md b/Richtlinie - Zutritt und Besucher.md index 002b654d..b3f7c2fa 100644 --- a/Richtlinie - Zutritt und Besucher.md +++ b/Richtlinie - Zutritt und Besucher.md @@ -6,4 +6,12 @@ draft: true --- > **Hinweis:** Diese Richtlinie ist noch **nicht final** und befindet sich aktuell im **Entwurfsstatus**. -> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden. \ No newline at end of file +> Der Inhalt dient als Arbeitsgrundlage und muss vor der offiziellen Freigabe noch **fachlich und organisatorisch geprüft** werden. + +Zugang zu Büroräumen erhalten nur autorisierte Personen. + +Besucher, Handwerker und andere externe Personen dürfen sich nicht unkontrolliert in internen Bereichen bewegen. + +Externe Personen sind zu begleiten oder gemäss Vorgaben vorab freizugeben. + +Schlüssel, Badges und andere Zutrittsmittel sind persönlich und dürfen nicht weitergegeben werden. \ No newline at end of file diff --git a/Richtlinien.md b/Richtlinien.md index 3ed428fb..1ab26fa2 100644 --- a/Richtlinien.md +++ b/Richtlinien.md @@ -58,5 +58,12 @@ Richtlinien der Mint System. ## IT-Sicherheit +- [[Richtlinie - Informationssicherheit]] - [[Richtlinie - Cloud-Dienste]] -- ... \ No newline at end of file +- [[Richtlinie - Datenlöschung und Entsorgung]] +- [[Richtlinie - Identity und Access Management]] +- [[Richtlinie - Klassifizierung von Informationen]] +- [[Richtlinie - Lieferanten und externe Dienstleister]] +- [[Richtlinie - Security Awareness]] +- [[Richtlinie - Sicherheitsvorfälle]] +- [[Richtlinie - Zutritt und Besucher]] \ No newline at end of file