Sicherheitspolitik

Einleitung

Dieses Dokument fasst die übergeordnete Sicherheitspolitik des Unternehmens zusammen und richtet sich an unsere Geschäftspartner. Es gibt einen Überblick über die Sicherheitskontrollen und Verfahren, mit denen KOPUR die Informationssicherheit gewährleistet.

Die Kenntnis dieses Dokuments vermittelt einen Einblick in die Funktionsweise unseres Informationssicherheits-Managementsystems und in die Anforderungen, die wir an die Einhaltung eines angemessenen Niveaus der Datensicherheit stellen.

Diese Zusammenfassung ist auf der Website des Unternehmens verfügbar. KOPUR behält sich vor, den Inhalt dieses Dokuments zu ändern und an geschäftliche Anforderungen, technische und organisatorische Standards, verfügbare Lösungen sowie an die aktuelle Situation im Bereich der Informationssicherheit anzupassen.

Da das Dokument öffentlich auf der Website des Unternehmens verfügbar ist, werden Geschäftspartner bei Änderungen nicht gesondert benachrichtigt. Von den Geschäftspartnern wird erwartet, dass sie das Dokument regelmäßig prüfen und Änderungen verfolgen.

Zweck und Geltungsbereich

Um ein angemessenes Niveau der Informationssicherheit zu gewährleisten, hat das Unternehmen ein Informationssicherheits-Managementsystem eingerichtet, das in bestimmten Bereichen auch die Zusammenarbeit mit Geschäftspartnern betrifft.

Das Informationssicherheits-Managementsystem umfasst vier Bereiche der Informationssicherheit:

• organisatorische Sicherheit,
• personelle Sicherheit,
• physische Sicherheit,
• technische Sicherheit.

Risikobasierte Entscheidungsfindung

Zur Festlegung von Sicherheitsmechanismen und Kontrollen hat das Unternehmen einen Risikomanagementprozess eingerichtet. Dieser dient dazu, Risiken zu identifizieren, zu analysieren und zu bewerten und auf dieser Grundlage Sicherheitslücken zu behandeln. Aus der Risikobewertung werden geeignete Maßnahmen abgeleitet. Diese können sein:

• organisatorische Maßnahmen (z. B. Richtlinien, Schulungen und Weiterbildungen),
• technische Maßnahmen, unterteilt in
  • physische Maßnahmen (z. B. Schranken, Türen, Tresore),
  • logische Maßnahmen (z. B. Passwörter und Multifaktor-Authentifizierung).

Die regelmäßige Wiederholung und Durchführung der Risikobewertung trägt dazu bei, dass das Informationssicherheits-Managementsystem kontinuierlich verbessert und weiterentwickelt wird.

Klassifizierung von Informationen

Alle im Unternehmen verwendeten Informationen werden nach ihrer Bedeutung klassifiziert. Die Datenklassifizierung legt grundlegende Anforderungen für den Umgang mit und die Verwaltung von Informationen sowie für den Einsatz und die Einführung von Sicherheitskontrollen fest.

Bedingungen der geschäftlichen Zusammenarbeit

Um einen angemessenen Schutz von Informationen zu gewährleisten, schließt das Unternehmen mit Geschäftspartnern, deren Zusammenarbeit über eine reine Verkaufsbeziehung hinausgeht, entsprechende Vertraulichkeitsvereinbarungen ab.

Physische Sicherheit

Ziel der physischen Sicherheit ist der angemessene Schutz physischer Vermögenswerte. Dazu gehören die Zutrittskontrolle zu den Unternehmensräumen, der Einsatz von Überwachungssystemen sowie weitere physische Sicherheitseinrichtungen und -kontrollen.

Geschäftspartner, die an einem Geschäftstermin teilnehmen oder Tätigkeiten am Unternehmensstandort ausführen möchten, müssen ihren Besuch vorab bei ihrer Kontaktperson ankündigen.

Für Geschäftspartner, die den Unternehmenssitz besuchen, stehen Parkplätze vor dem Firmengebäude zur Verfügung. Der Zutritt zum Gelände erfolgt über eine Sicherheitsschranke. Die dafür vorgesehene Tür ist mit einer Klingel sowie einem Kommunikations- und Fernöffnungssystem ausgestattet. Beim Betreten des geschützten Bereichs weist eine entsprechende Kennzeichnung darauf hin, dass das Unternehmensgelände videoüberwacht wird.

Nach dem Betreten des Geländes dürfen sich Besucher nur in Begleitung ihrer Kontaktperson oder einer benannten Person bewegen. Aus Sicherheitsgründen werden alle Besucher in ein Besucherbuch eingetragen. Die Besucherdaten werden für die Dauer von einem Jahr aufbewahrt.

Ein selbstständiger Zutritt und die eigenständige Bewegung auf dem Unternehmensgelände sind für externe Auftragnehmer möglich, die Wartungsarbeiten an kritischer Unterstützungs- und Informationsinfrastruktur durchführen. Ihr Aufenthalt im Gebäude und im geschützten Bereich muss vorab mit der zuständigen vertraglichen Kontaktperson abgestimmt werden.

Informations- und Cybersicherheit

Die Informationssicherheit umfasst Maßnahmen zum Schutz von Informationsressourcen und Daten sowie Maßnahmen zur Abwehr von Sicherheitsbedrohungen.

Geschäftliche Kommunikation

Im Rahmen der Zusammenarbeit führen Geschäftspartner und Vertreter des Unternehmens geschäftliche Kommunikation und Korrespondenz durch. Diese erfolgt über Benutzerkonten, die anhand der Unternehmensdomain (kopur.si) eindeutig erkennbar sind. Benutzerkonten anderer Domains stellen keine offizielle Kommunikation des Unternehmens dar und werden von Mitarbeitenden nicht für die geschäftliche Kommunikation verwendet.

Datenaustausch

Abhängig von der Art der geschäftlichen Zusammenarbeit kann zwischen den Partnern auch ein elektronischer Datenaustausch (EDI) erfolgen. In diesem Fall werden die technischen Fachkräfte beider Partner einbezogen, um das Konzept, die Anforderungen der technischen Umsetzung und weitere Bedingungen dieser Kommunikation festzulegen.

Wenn Partner Daten über Anwendungen austauschen, die einen Zugriff auf bestimmte Systeme ermöglichen (z. B. Webanwendungen oder Fernzugriff auf Anwendungen), erhalten die jeweiligen Nutzer entsprechende Zugangsdaten. Diese gelten als Geschäftsgeheimnis. Soweit technisch möglich, wird für jeden Mitarbeitenden ein eigenes Benutzerkonto verwendet.

Nutzung geschäftlicher Informationssysteme und logische Sicherheit

Im Rahmen der Zusammenarbeit können Geschäftspartner gegenseitig Zugriff auf Ressourcen und Dienste ihrer Informationssysteme gewähren. Bei einer passwortbasierten Zugangskontrolle werden eindeutige Benutzernamen und Passwörter verwendet. Passwörter müssen mindestens acht Zeichen lang sein und mindestens einen Großbuchstaben, einen Kleinbuchstaben und eine Zahl enthalten. Unternehmensnamen, Benutzernamen und andere leicht zuzuordnende Angaben (z. B. Kfz-Kennzeichen) dürfen nicht als Passwort verwendet werden.

Soweit möglich, wird zur Überprüfung des Zugriffs eine Multifaktor-Authentifizierung eingesetzt.

Verbindungen für den direkten Zugriff auf Umgebungen von Geschäftspartnern werden durch Datenverschlüsselungsmechanismen abgesichert (HTTPS, VPN oder ein anderer mit den technischen Fachkräften abgestimmter Mechanismus).

Zugriffskontrolle

Beide Partner teilen Änderungen an der Benutzerliste unverzüglich mit, damit Zugriffsrechte entsprechend eingerichtet oder entzogen werden können.

Um sicherzustellen, dass der tatsächliche Benutzerbestand aktuell ist, werden die Zugriffsberechtigungen regelmäßig überprüft und bestätigt. Das Prüfintervall wird zwischen den Geschäftspartnern abgestimmt.

Sicherer Betrieb des Informationssystems

Zur Sicherstellung des Unternehmensbetriebs steht ein angemessen geschütztes und gewartetes Informationssystem mit entsprechender unterstützender Infrastruktur zur Verfügung. Dazu gehören unter anderem Klimatisierung, eine unterbrechungsfreie Stromversorgung (USV) und Generatoren sowie die Sicherstellung des Internetzugangs über primäre und sekundäre Anbieter.

Das Informationssystem wird regelmäßig gewartet (Systemadministration, Kapazitätsmanagement) und durch qualifiziertes Personal angemessen aktualisiert. Die Überwachung und Steuerung der Kapazitäten dient dazu, Systemüberlastungen zu vermeiden und einen ordnungsgemäßen sowie reaktionsfähigen Betrieb sicherzustellen. Zu den regelmäßigen Wartungsmaßnahmen gehört auch die Überwachung von Sicherheitslücken in den einzelnen Systemen, aus denen das gesamte Informationssystem des Unternehmens besteht.

Sowohl die unterstützende Infrastruktur als auch die Infrastruktur des Informationssystems werden regelmäßig darauf geprüft, ob sie auch in Notfallsituationen funktionsfähig bleiben (Tests der Geschäftskontinuität und Betriebsfähigkeit).

Umgang mit Sicherheitsereignissen

Trotz festgelegter Verfahren für den Betrieb und die Handhabung von Informationssystemen sowie implementierter Sicherheitskontrollen können Sicherheitsereignisse auftreten. Für den Fall eines Sicherheitsvorfalls verfügt das Unternehmen über ein festgelegtes Verfahren zur Behandlung des Vorfalls. Klare und wirksame Reaktionen sollen mögliche Auswirkungen auf den Betrieb und die Geschäftstätigkeit minimieren.

Bei einem schwerwiegenden Sicherheitsvorfall informieren wir betroffene Geschäftspartner direkt über das Ereignis, einschließlich Art und Charakter des Vorfalls, aktuellem Status sowie möglichen Auswirkungen auf Betrieb und Geschäftstätigkeit. Sicherheitsvorfälle, die personenbezogene Daten betreffen, werden gemäß den geltenden gesetzlichen Vorgaben zum Schutz und zur Verarbeitung personenbezogener Daten behandelt.

Verantwortlichkeiten und Befugnisse

In unserem Unternehmen sind Rollen und Funktionen klar definiert. Sie legen fest, welche Aufgaben eine Person ausführen darf und welche Aufgaben sie erfüllen muss. Benutzerrollen im Informationssicherheits-Managementsystem werden regelmäßig überprüft, um ihre Angemessenheit und Übereinstimmung mit den geschäftlichen Anforderungen sicherzustellen. Die Rollen legen eindeutig fest, wer für die Durchführung der jeweiligen Sicherheitskontrollen verantwortlich ist.

Schulungen

Nutzer des Informationssystems müssen regelmäßig an Schulungen zur Nutzung des Informationssystems sowie zum Umgang mit Daten und Informationen teilnehmen. Im Rahmen regelmäßiger Schulungs- und Sensibilisierungsmaßnahmen werden die Nutzer über Änderungen von Verfahren, Standards, gesetzlichen Anforderungen und weiteren Aspekten informiert, die das Informationssicherheits-Managementsystem betreffen, beispielsweise Anforderungen von Geschäftspartnern.

Von Geschäftspartnern wird erwartet, dass sie diese Zusammenfassung der übergeordneten Sicherheitspolitik regelmäßig verfolgen. Das Dokument ist auf der Website des Unternehmens verfügbar.

Überprüfung und Sicherstellung der Konformität

Die Funktionsweise des Informationssystems wird regelmäßig auf Konformität überprüft. Dabei wird geprüft, ob der operative Betrieb des Informationssystems mit der Sicherheitspolitik des Unternehmens übereinstimmt und ob die Sicherheitspolitik selbst den geschäftlichen Anforderungen und anerkannten Best Practices entspricht.

Ein weiterer Prüfbereich betrifft die Einhaltung von Gesetzen und Standards im Bereich des Informationssystemmanagements. Diese Konformitätsprüfung erfolgt durch regelmäßige Überprüfungen und Audits des Systems. Dazu gehören auch Prüfungen durch Geschäftspartner.

Die Ergebnisse der Prüfungen werden dokumentiert. Auf dieser Grundlage werden erforderliche Maßnahmen, die für ihre Umsetzung verantwortlichen Personen sowie Fristen für die Umsetzung festgelegt.

Erfordert eine Maßnahme eine Änderung der Konfiguration des Informationssystems oder eines Vermögenswerts, der Bestandteil des Informationssystems ist, muss diese Änderung von der Unternehmensleitung genehmigt werden. Sämtliche Änderungen am Informationssystem bedürfen der Zustimmung der Unternehmensleitung.

Anforderungen von Geschäftspartnern

Bei der Festlegung von Sicherheitskontrollen und -mechanismen berücksichtigen wir auch die Anforderungen unserer Geschäftspartner an den Umgang mit und die Verwaltung von Daten und Informationen. Bei Unklarheiten stimmen wir diese gemeinsam mit dem jeweiligen Geschäftspartner ab, damit hinsichtlich des Einsatzes von Sicherheitsmechanismen und -kontrollen eindeutige Regelungen bestehen.

Gesetzgebung und regulatorische Anforderungen

Branchenspezifische Gesetze und Vorschriften zum Umgang mit und zur Verwaltung von Daten werden regelmäßig überwacht. Bei Änderungen wird die übergeordnete Sicherheitspolitik und damit auch diese Zusammenfassung der Informationssicherheitspolitik entsprechend ergänzt bzw. angepasst.

Veröffentlichung und Gültigkeit des Dokuments

Dieses Dokument wird auf der Website des Unternehmens veröffentlicht und gilt ab dem Datum seiner Veröffentlichung.

Veröffentlichungsdatum: 15.04.2024

Geschäftsführung