Zugriffssteuerungsrichtlinie
Wir verpflichten uns zu einer robusten Zugriffskontrolle, die sicherstellt, dass der Zugang zu unseren Systemen, Daten und Ressourcen sorgfältig verwaltet und geschützt wird. Wir verfügen über eine dokumentierte Zugriffssteuerungsrichtlinie, die die Verfahren zur Gewährung, Verwaltung und Widerrufung von Zugriffsrechten beschreibt, einschließlich für erweiterte Berechtigungen, Mitarbeiterwechsel, temporären Zugang und Notfallsituationen. Unser Ansatz umfasst die Verwendung von rollenbasierter Zugriffskontrolle (RBAC) sowohl für institutionelle Konten als auch für internes Personal, wobei die automatisierte Bereitstellung durch Okta erfolgt. Zudem führen wir vierteljährliche Überprüfungen der Zugriffsliste für privilegierte Konten durch, um die Sicherheit aufrechtzuerhalten.
Richtlinie zum Asset-Management
Richtlinie zur Datenklassifikation
Wir verfügen über eine umfassende Richtlinie zur Datenklassifikation und -handhabung, die beschreibt, wie wir Unternehmens-, Mitarbeiter- und Kundendaten basierend auf deren Sensitivität und Kritikalität kategorisieren und schützen. Diese Richtlinie gibt unserem Personal klare Anweisungen zum angemessenen Umgang mit und Schutz von Daten und stellt sicher, dass alle Daten, die auf unseren Systemen verarbeitet, übertragen oder gespeichert werden, sicher behandelt werden. Unser Sicherheitsdirektor setzt diese Richtlinie durch regelmäßige Audits durch, und unser Sicherheitskomitee überprüft und aktualisiert sie jährlich, um sie an sich ändernde Anforderungen anzupassen.
Informationssicherheitsrichtlinie
Wir engagieren uns intensiv für den Schutz unserer Informationswerte und die Aufrechterhaltung einer sicheren Umgebung für unsere Kunden. Dies erreichen wir durch eine umfassende Informationssicherheitsrichtlinie, die als übergeordnetes Rahmenwerk für alle unsere Sicherheitsrichtlinien und -verfahren dient. Diese Richtlinie wird regelmäßig vom Sicherheitsdirektor bewertet und genehmigt, um sicherzustellen, dass sie robust bleibt und sich an die sich entwickelnden Sicherheitslandschaften anpasst.
Netzwerksicherheitsrichtlinie
Richtlinie zur sicheren Softwareentwicklung
Wir verfügen über eine dokumentierte Richtlinie zum Softwareentwicklungszyklus (SDLC), die unseren gesamten Softwareentwicklungsprozess leitet. Diese Richtlinie stellt sicher, dass Informationssicherheitsprinzipien während des gesamten Produktlebenszyklus integriert sind. Unser Änderungsmanagementprozess wird sorgfältig geplant, genehmigt und durch Dokumentation, Tests und Überprüfungen unterstützt, um Risiken zu minimieren.
Backup-Richtlinie
Backups sind verschlüsselt, und der Zugriff ist auf autorisiertes Personal beschränkt. Wir testen und validieren regelmäßig mindestens einmal jährlich unsere Business-Continuity- und Disaster-Recovery-Pläne, die unsere Backup- und Wiederherstellungsstrategien umfassen, um deren Wirksamkeit sicherzustellen.
Änderungsmanagement-Richtlinie
Wir haben eine formelle Änderungsmanagement-Richtlinie, die unsere etablierten Pläne und Verfahren zur Überwachung und Steuerung von Änderungen an unserer Infrastruktur, unseren Systemen und Anwendungen beschreibt. Dieser strukturierte Ansatz stellt sicher, dass jede Codeänderung zielgerichtet, effizient und mit minimalen Risiken und Unterbrechungen erfolgt. Jede vorgeschlagene Änderung wird sorgfältig geplant, priorisiert, genehmigt, dokumentiert, getestet, überprüft und enthält Versionsnotizen sowie Rücksetzstrategien, falls erforderlich. Unser JIRA-System verwendet Workflows, um Präzision und reibungslose Ausführung dieser Prozesse sicherzustellen.
Richtlinie zur Datenaufbewahrung
Richtlinie zur Vorfallreaktion
Passwortrichtlinie
Wir legen großen Wert auf die Sicherheit von Benutzerkonten durch die Umsetzung einer robusten Passwortrichtlinie. Wir verwenden eine Passwort-Manager-Anwendung, um Benutzeranmeldeinformationen sicher in einer verschlüsselten Datenbank zu speichern und zu verwalten. Unser Ansatz wird durch die Anforderung von Single Sign-On (SSO) und Multi-Faktor-Authentifizierung (MFA) für Produktionssysteme und -konten, sofern möglich, weiter gestärkt. Für Systeme, die kein SSO/MFA verwenden, setzen wir außerdem starke Passwortanforderungen durch, einschließlich Mindestlänge, Komplexität und regelmäßiger Ablaufzeiten.
Richtlinie zur physischen Sicherheit
Wir engagieren uns intensiv für physische Sicherheit, die ein wesentlicher Bestandteil des Schutzes unserer Einrichtungen, Vermögenswerte und Mitarbeiter vor unbefugtem Zugriff, Schäden oder Diebstahl ist. Wir implementieren und setzen strenge physische Sicherheitsmaßnahmen durch, einschließlich jährlicher Sicherheitsbewusstseinsschulungen für alle Mitarbeiter. Unsere digitale Landschaft wird durch Sicherheitsprotokolle geschützt, und wir arbeiten mit AWS, unserem Cloud-Dienstleister, für die physische und grundlegende Cloud-Sicherheit unserer Betriebsabläufe zusammen.
Richtlinie zur Risikoabschätzung/-management
Wir verfügen über eine umfassende Risikomanagement-Richtlinie und einen strukturierten Rahmen zur Identifikation, Bewertung und Minderung potenzieller Risiken für unsere Betriebsabläufe, Vermögenswerte und Informationen. Wir führen jährliche Risikoanalysen und vierteljährliche Risikoüberprüfungen durch, um stets wachsam gegenüber sich entwickelnden Bedrohungen zu bleiben und erkannte Schwachstellen umgehend zu beheben. Unser Ansatz integriert Richtlinien wie Lieferantenmanagement und Schwachstellenmanagement, um Risiken proaktiv anzugehen und die Integrität sowie Widerstandsfähigkeit unserer Betriebsabläufe sicherzustellen.
Richtlinie zum Lieferantenmanagement
Wir haben eine dokumentierte Richtlinie zum Lieferantenmanagement, die unseren Due-Diligence-Prozess für die Verwaltung von Lieferanten, deren Zugriff auf Kundendaten und deren Einfluss auf Sicherheit, Verfügbarkeit, Vertraulichkeit und Datenschutz beschreibt. Wir führen Sicherheitsbewertungen von Drittunternehmen durch, mit denen wir Daten teilen. Außerdem verwenden wir Tools wie Bitsight und andere Lieferantenmanagement-Tools, um unsere Drittparteien zu verfolgen, zu bewerten und nachzuverfolgen.
Richtlinie zum Schwachstellenmanagement
Wir verfügen über eine umfassende Richtlinie zum Schwachstellenmanagement, die systematisch Sicherheitslücken in unseren Systemen und Anwendungen identifiziert, bewertet und behebt. Diese Richtlinie ist in unseren robusten Risikobewertungsprozess integriert und ermöglicht es uns, potenzielle Risiken effektiv vorherzusehen, zu bewerten und darauf zu reagieren. Unser engagiertes Sicherheitsteam, zu dem auch ein Analyst für Schwachstellenmanagement gehört, überwacht und bewertet kontinuierlich unsere Kontrollen, um deren Wirksamkeit und Relevanz sicherzustellen.
War dieser Beitrag hilfreich?
Beiträge in diesem Abschnitt
- App-Sicherheit
- Compliance-Dokumente (SOC 2 Typ 2, VPAT, SOC 3)
- BioRenders Datenrichtlinien
- Infrastruktur bei BioRender: BioRender AWS-Hosting
- Zugangskontrolle
- BioRender-Richtlinie zur Mitarbeiterschulung
- Sicherheitspraktiken
- BioRender Endpunktsicherheit
- BioRender Cookie-Richtlinie
- Sicherheitsdokumentation und Bewertungen