Was umfasst die Norm ISO/IEC 27001?
Fiabilis Consulting Group engagiert sich in einem Prozess zum Schutz von Daten. Die Zertifizierung nach ISO 27001 bestätigt unsere Fähigkeit, alle wichtigen Daten und Informationen für unsere Analysen zu schützen.
Wir bieten unseren Kunden, Partnern und Mitarbeitern umfassende Sicherheit ihrer Daten durch Implementierung, Aktualisierung und Wartung eines integrierten Managementsystems für Informationssicherheit (ISMS).
Die Zertifizierung belegt die Fähigkeit von Fiabilis, seine Fähigkeit zu bewerten, auf alle Risikoarten zu reagieren, die durch Infrastrukturen, Personen oder Prozesse entstehen können.
Die Norm ISO 27701 als Ergänzung zur Norm ISO/IEC 27001
Ergänzend zur Norm ISO 27001 hat Fiabilis im Jahr 2022 die ISO 27701-Zertifizierung erhalten. Diese internationale Zertifizierungsnorm erweitert den Anwendungsbereich der Norm 27001 auf Governance und Sicherheitsmaßnahmen zum Schutz personenbezogener Daten. Sie berücksichtigt die wichtigsten geltenden Rechtsvorschriften zum Datenschutz, insbesondere die DSGVO.
Diese Norm ermöglicht es uns insbesondere, gemäß dem Verantwortlichkeitsprinzip nachzuweisen, dass unsere internen Praktiken bei der Verarbeitung personenbezogener Daten im Einklang mit den Grundsätzen der DSGVO stehen (Rechtmäßigkeit, Fairness, Transparenz; Zweckbindung; Datenminimierung; Richtigkeit, Speicherbegrenzung; Integrität und Vertraulichkeit).
Externe Kontrolle und Erneuerung der ISO-Zertifizierungen
Ein Überblick über die ergriffenen Maßnahmen zum Schutz Ihrer Daten
- Unterzeichnung einer IT-Charta und Verpflichtung zur Vertraulichkeit
- Schulungen, Sensibilisierung, regelmäßige Bewertung der Kenntnisse in Informationssicherheit
- Direkte Beaufsichtigung von Besuchern durch ein Fiabilis-Mitglied während des gesamten Besuchs
- Kontrollen und beschränkter Zugang zu den Räumlichkeiten
- Automatisierte und dezentrale Verwaltung des Asset-Inventars
- Politik zur Verwaltung, Nachverfolgung und Entsorgung der anvertrauten Anlagen über deren gesamten Lebenszyklus
- Peripheriesicherheitsrichtlinie (automatische Sperre, Komplexität und Passwortwechsel, Echtzeitschutz vor Malware, Firewall, Festplattenverschlüsselung, Beschränkung der Softwareinstallation, automatische Updates ...)
- Zentralisierte Zugriffsrechtsverwaltung und regelmäßige unabhängige Überprüfungen
- Richtlinie zur Verwaltung von Dienstleistungs- oder Lieferantenbeziehungen, verpflichtende Vertraulichkeitsvereinbarung, jährliches Sicherheits-Audit
- Richtlinie zur Kontrolle der Entwicklungen, Code-Audit, Schwachstellentests
- Alle unsere Assets werden im Rahmen unseres nach ISO 27001 zertifizierten ISMS verwaltet
- Benennung eines Spezialisten für den Datenschutz in jedem Land zur Überwachung der Einhaltung der DSGVO und anderer Datenschutzgesetze sowie zur Erteilung spezifischer Empfehlungen (DPO oder Privacy Champion)
- Hosting aller Kunden- und internen Daten auf unserer eigenen internen Infrastruktur
- Strikte Richtlinie zum Austausch oder zur gemeinsame Nutzung von Dateien über unsere eigenen intern gehosteten Tools
- Pseudonymisierung der Daten ab dem Zeitpunkt ihres Uploads auf der Webseite der Sozialversicherung
- Keine Übertragung sensibler Daten an Drittanbieter
- Obligatorische Authentifizierung der Nutzer mit Login und Passwort sowie obligatorische Zwei-Faktor-Authentifizierung (MFA) für den Fernzugriff (VPN)
- Zentralisierte Archivierung der Zugriffsprotokolle auf die Daten
- Strenger Datenlebenszyklus gemäß den geltenden Vorschriften (DSGVO), den lokalen Empfehlungen (Norm ISO 27001 und Norm ISO 27701)
- Backup-Politik, die die Verschlüsselung und den Speicherort der Daten intern (in unseren Räumlichkeiten) und an einem extern gesicherten Standort klar definiert.
- Die gesamte Infrastruktur wird lokal in unseren eigenen Büros betrieben
- Fiabilis verfügt über verschiedene interne Netzwerke, die eine präzise Zugriffsverwaltung und eine Trennung der Umgebungen ermöglichen
- Der Zugriff auf die Daten, der dem Personal von Fiabilis vorbehalten ist, ist nur über eine lokale physische Verbindung oder über VPN mit Zwei-Faktor-Authentifizierung (MFA) möglich
- Jährlich auditieren, überprüfen und zertifizieren die unabhängige Organisation Aenor im Rahmen unserer ISO 27001-Zertifizierung unser ISMS sowie die Kontrolle unseres PIMS gemäß ISO 27701.
- Ein interner Auditplan gewährleistet die Konsistenz des PDCA-Zyklus (Planen, Durchführen, Prüfen, Handeln), der für alle unsere Prozesse unerlässlich ist
- Jährlich führt das interne IT-Team 3 interne Penetrationstests durch. Diese werden durch einen externen, unabhängigen Penetrationstest und Schwachstellenscan ergänzt.
Datenschutzkonformität – FAQ
1) Welche Rolle spielt Fiabilis bei der Verarbeitung der Kundendaten?
Fiabilis verarbeitet grundsätzlich die personenbezogenen Daten seiner Kunden als Auftragsverarbeiter. Vor Beginn einer Analyse schließen wir mit jedem Kunden eine entsprechende Vereinbarung über die Verarbeitung personenbezogener Daten (Data Processing Agreement oder DPA) ab. Diese Vereinbarung legt genau die Grundsätze fest, nach denen die Datenverarbeitung erfolgt, sowie unsere Verpflichtungen während dieses Prozesses gemäß Artikel 28 DSGVO.
2) Wie werden die Daten an Fiabilis übertragen?
Wir haben eine sichere und individuelle Datenaustauschplattform für jeden Kunden eingerichtet, über die der Kunde seine Daten direkt an unseren Server senden kann. Der Kunde kann auch einen Datenübertragungsweg nach seinen Anforderungen wählen, beispielsweise über eine firmeneigene und bereitgestellte interne Infrastruktur.
3) Wo und wie lange werden die Daten gespeichert?
Ihre Daten werden ausschließlich auf unseren sicheren Servern in Europa gespeichert und verarbeitet. Gemäß den Bedingungen des DPA werden sie für die vereinbarte Dauer aufbewahrt und danach endgültig gelöscht.