1. Einleitung

Der Zweck dieser Sicherheitsrichtlinie besteht darin, die Maßnahmen und Praktiken zu beschreiben, die Allamex™ anwendet, um die Vertraulichkeit, Integrität und Verfügbarkeit unserer Systeme und Daten sicherzustellen. Diese Richtlinie gilt für alle Mitarbeiter, Auftragnehmer und Drittunternehmen, die Zugriff auf unsere Systeme und Informationen haben. Die Einhaltung dieser Richtlinie ist zwingend erforderlich, um unsere Geschäfts- und Kundendaten vor unbefugtem Zugriff, Offenlegung, Änderung oder Zerstörung zu schützen.

2. Access Control

2.1Benutzerkonten:

• Für alle Mitarbeiter und Auftragnehmer, die auf die Großhandels-Online-Geschäftssysteme zugreifen, werden Benutzerkonten erstellt.
• Benutzerkonten werden nach dem Prinzip der geringsten Rechte gewährt, um sicherzustellen, dass Einzelpersonen nur Zugriff auf die Ressourcen haben, die sie für die Erfüllung ihrer beruflichen Aufgaben benötigen.
• Es werden sichere Passwörter erzwungen, die eine Kombination aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen erfordern.
• Für alle Benutzerkonten wird die Multi-Faktor-Authentifizierung (MFA) implementiert, um eine zusätzliche Sicherheitsebene zu bieten.

 2.2Zugriff von Drittanbietern:

• Der Zugriff Dritter auf unsere Systeme und Daten wird nur im Rahmen des „Need-to-know“-Prinzips gewährt.
• Von Drittanbietern wird verlangt, dass sie eine Vertraulichkeitsvereinbarung unterzeichnen und Sicherheitsstandards und -praktiken einhalten, die mit unseren eigenen übereinstimmen.

 

3. Datenschutz

3.1Datenklassifizierung:

• • Alle Daten werden nach ihrer Sensibilität und Kritikalität klassifiziert, um angemessene Schutzniveaus festzulegen.
  • Den Mitarbeitern werden Richtlinien zur Datenklassifizierung zur Verfügung gestellt, um eine ordnungsgemäße Handhabung, Speicherung und Übertragung der Daten sicherzustellen.

3.2Datenverschlüsselung:

• • Die Übertragung sensibler Daten erfolgt verschlüsselt mit branchenüblichen Verschlüsselungsprotokollen wie SSL/TLS.
  • Es werden Verschlüsselungsmechanismen implementiert, um Daten im Ruhezustand zu schützen, insbesondere für sensible Informationen, die darin gespeichert sind
  • Datenbanken und Dateisysteme.

3.3Datensicherung und -wiederherstellung:

• • Regelmäßige Sicherungen wichtiger Daten werden durchgeführt und sicher an einem externen Standort gespeichert.
  • Die Backup-Integrität und die Wiederherstellungsprozesse werden regelmäßig getestet, um die Wiederherstellbarkeit der Daten im Katastrophenfall sicherzustellen.

 

4.Netzwerksicherheit

• • Firewalls und Intrusion-Detection-Systeme:
  • Firewalls und Intrusion-Detection-Systeme werden eingesetzt, um unsere Netzwerkinfrastruktur vor unbefugten Zugriffsversuchen und böswilligen Aktivitäten zu schützen.
  • Der Netzwerkverkehr wird regelmäßig überwacht und analysiert, um potenzielle Sicherheitsvorfälle zu erkennen und darauf zu reagieren.

4.1Sicherer Fernzugriff:

• • Der Fernzugriff auf unsere Systeme ist nur über sichere Kanäle wie VPNs (Virtual Private Networks) gestattet.
  • Fernzugriffskonten werden durch starke Authentifizierungsmechanismen geschützt und auf verdächtige Aktivitäten überwacht.

5.Vorfallreaktion

5.1Schadensbericht:

• • • Mitarbeiter und Auftragnehmer werden darin geschult, Sicherheitsvorfälle, Verstöße oder verdächtige Aktivitäten unverzüglich der benannten Kontaktstelle zu melden.
    • Verfahren zur Meldung von Vorfällen werden klar kommuniziert und regelmäßig überprüft, um eine zeitnahe Reaktion und Lösung sicherzustellen.

5.2Vorfallreaktionsteam:

• • • Ein Incident-Response-Team wird benannt, um Sicherheitsvorfälle zu bearbeiten, Verstöße zu untersuchen und entsprechende Maßnahmen zu koordinieren.
    • Rollen und Verantwortlichkeiten der Teammitglieder werden definiert und ihre Kontaktinformationen werden leicht verfügbar sein.

5.3Wiederherstellung nach Vorfällen und gewonnene Erkenntnisse:

• • • Es werden umgehend Maßnahmen ergriffen, um die Auswirkungen von Sicherheitsvorfällen abzumildern und betroffene Systeme und Daten wiederherzustellen.
    • Nach jedem Vorfall wird eine Post-Incident-Überprüfung durchgeführt, um die gewonnenen Erkenntnisse zu ermitteln und notwendige Verbesserungen umzusetzen, um ähnliche Vorfälle in der Zukunft zu verhindern.

6.Physische Sicherheit

6.1Zugangskontrolle:

• • Der physische Zugang zu Rechenzentren, Serverräumen und anderen kritischen Bereichen ist ausschließlich autorisiertem Personal vorbehalten.
  • Zugangskontrollmechanismen wie biometrische Authentifizierung, Schlüsselkarten und Videoüberwachung werden gegebenenfalls implementiert.

6.2Geräteschutz:

• • Sämtliche Computerausrüstung, Speichermedien und tragbaren Geräte werden vor Diebstahl, Verlust oder unbefugtem Zugriff geschützt.
  • Die Mitarbeiter werden darin geschult, Geräte sicher aufzubewahren und zu handhaben, insbesondere wenn sie aus der Ferne arbeiten oder auf Reisen sind.

7.Schulung und Bewusstsein

7.1 Sicherheitsbewusstseinstraining:

• • Für alle Mitarbeiter und Auftragnehmer werden regelmäßig Schulungen zum Sicherheitsbewusstsein angeboten, um sie über bewährte Sicherheitspraktiken, -richtlinien und -verfahren aufzuklären.
  • In den Schulungssitzungen werden Themen wie Passwortsicherheit, Phishing-Bewusstsein, Datenverarbeitung und Vorfallmeldung behandelt.

7.2 Richtlinienanerkennung:

• • Alle Mitarbeiter und Auftragnehmer müssen ihr Verständnis und ihre Einhaltung dieser Sicherheitsrichtlinie überprüfen und bestätigen.
  • Danksagungen werden regelmäßig aktualisiert und als Teil der Personalakten geführt.

8.Richtlinienüberprüfung und Aktualisierungen

Diese Sicherheitsrichtlinie wird regelmäßig überprüft und bei Bedarf aktualisiert, um Änderungen in der Technologie, Vorschriften oder Geschäftsanforderungen Rechnung zu tragen. Alle Mitarbeiter und Auftragnehmer werden über alle Aktualisierungen informiert und müssen sich an die überarbeitete Richtlinie halten.

Durch die Implementierung und Durchsetzung dieser Sicherheitsrichtlinie möchten wir unser Online-Großhandelsgeschäft und unsere Kundendaten schützen und das Vertrauen unserer Partner und Kunden wahren.