Mhilfe ist sich der Bedeutung der Sicherheit von Kundeninformationen bewusst und hat ein Informationssicherheitsmanagement-System etabliert, das den Anforderungen der ISO/IEC 27001, 27017 und 27018 entspricht. Dieses System dient dazu, die Fortführung der Informationssysteme sicherzustellen, Risiken von Schäden zu reduzieren, die Erreichung definierter Ziele zu garantieren und den Schutz persönlicher Daten in der Cloud zu wahren.
Das Ziel der Sicherheitsrichtlinie ist es, einen Handlungsrahmen zu schaffen, der Informationen vor internen und externen, beabsichtigten oder unbeabsichtigten Bedrohungen schützt und die Wahrung von Vertraulichkeit, Integrität und Verfügbarkeit der Informationen sicherstellt.
Die Effizienz und Durchführung des integrierten Managementsystems für diese Richtlinien obliegt direkt dem Informationssicherheitsausschuss, der für die Genehmigung, Verbreitung und Einhaltung der Sicherheitsrichtlinie verantwortlich ist. Im Auftrag des Ausschusses wurde ein Informationssicherheitsbeauftragter ernannt, der die aktive Rolle im Management der Informationssicherheit spielt, dessen Implementierung, Entwicklung und Instandhaltung überwacht und über entsprechende Befugnisse verfügt.
Der Informationssicherheitsausschuss entwickelt und genehmigt die Methodik für die Risikoanalyse, die im Rahmen des Informationssicherheitsmanagements angewendet wird.
Jeder, dessen Arbeit direkt oder indirekt von den Anforderungen des Informationssicherheitsmanagementsystems betroffen ist, ist zur strengen Einhaltung der Sicherheitsrichtlinie verpflichtet.
Mhilfe verpflichtet sich zur Einhaltung der relevanten Vorschriften für allgemeine und IT-Sicherheit, die sich auf IT-Richtlinien, die Sicherheit von Gebäuden und Einrichtungen sowie auf das Verhalten von Mitarbeitern und Dritten im Zusammenhang mit der Nutzung von IT-Systemen beziehen. Erforderliche Maßnahmen zur Sicherung der Information durch Regeln, Verfahren und Kontrollen müssen die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen gewährleisten, die essentiell sind für:
- Die Einhaltung der aktuellen Gesetzgebung für Informationssysteme.
- Den Schutz der von Mhilfe verwalteten Daten.
- Die Sicherstellung der Informationssicherheitsanforderungen für den Cloud-Service.
- Die Risikominderung bei autorisierten Insiderinformationen.
- Die Isolation der Kunden in Multi-Tenancy- und Cloud-Services.
- Den Schutz und die Vertraulichkeit von Kundendaten.
- Die Implementierung von Zugangskontrollverfahren.
- Die adäquate Verwaltung von Informationen in der Cloud über den gesamten Lebenszyklus der Kundenkonten.
- Die Mitteilung von Sicherheitslücken an die betroffenen Parteien und die Festlegung von Richtlinien für den Informationsaustausch, um Untersuchungen und forensische Analysen zu unterstützen.
- Die Gewährleistung der Verfügbarkeit von Informationssystemen, sowohl für Kunden als auch für die interne Verwaltung.
- Die Sicherstellung der Fähigkeit, auf Notfälle zu reagieren und kritische Dienste schnellstmöglich wiederherzustellen.
- Die Verhinderung von unbefugten Änderungen an Informationen.
- Die Förderung von Bewusstsein und Schulung in der Informationssicherheit.
- Die Festlegung von Zielen und Maßnahmen zur Leistungsbewertung bezüglich der Informationssicherheit und die kontinuierliche Verbesserung der Aktivitäten, geregelt im Managementsystem, das diese Richtlinie umsetzt.
