Informationssicherheitsrichtlinie
Zweck und Geltungsbereich
Diese Richtlinie legt dar, wie RODMENA LIMITED die Vertraulichkeit, Integrität und Verfügbarkeit eigener Informationen sowie der von Kunden anvertrauten Informationen schützt. Sie gilt für alle Personen, die für das oder mit dem Unternehmen arbeiten, sowie für alle von uns betriebenen Systeme. Wir führen eine begrenzte Anzahl an Kontrollen durch und überprüfen deren Einhaltung.
Verpflichtungen
- Informationen werden nach ihrer Sensibilität klassifiziert und dementsprechend behandelt. Kundendaten werden stets vertraulich behandelt.
- Der Zugriff auf Systeme und Daten folgt dem Prinzip der geringsten Berechtigung und wird überprüft, wenn sich Rollen oder Beauftragungen ändern.
- Zentrale Konten (Code-Hosting, Infrastruktur, E-Mail) verwenden Multi-Faktor-Authentifizierung und starke, eindeutige Zugangsdaten in einem Passwort-Manager.
- Jedes Konto ist einer namentlich benannten Person zugeordnet, und seine Zugangsdaten werden nie geteilt.
- Wer Administratorrechte erhält, unterschreibt vorher eine Vereinbarung, diese Rechte nur für die übertragenen Aufgaben zu nutzen, auf jedem Administratorkonto Multi-Faktor-Authentifizierung beizubehalten und einen höheren Maßstab an Vertraulichkeit einzuhalten.
- Alle Dienste nutzen Verschlüsselung bei der Übertragung (TLS), und tragbare Geräte nutzen vollständige Festplattenverschlüsselung.
- Betriebssysteme und Abhängigkeiten werden nach Schweregrad gepatcht. Laptops und Telefone installieren Updates automatisch. Server erhalten kritische und hochriskante Sicherheitskorrekturen innerhalb von 14 Tagen nach ihrer Veröffentlichung und andere Updates monatlich.
- Wir speichern nur das Minimum an personenbezogenen Daten, das für den Betrieb erforderlich ist (siehe unsere Datenschutzerklärung), und halten UK GDPR ein.
- Sicherheitsvorfälle werden unverzüglich eingestuft, eingedämmt und dokumentiert sowie den betroffenen Parteien ohne unangemessene Verzögerung gemeldet (siehe Sicherheits-Whitepaper).
- Backups der Systeme für Kundenbeauftragungen werden planmäßig erstellt, verschlüsselt und anhand der vereinbarten Wiederherstellungsziele getestet.
Verantwortlichkeiten
Der Director ist Inhaber dieser Richtlinie und für deren Umsetzung und Überprüfung verantwortlich. Jede vom Unternehmen beauftragte oder beschäftigte Person muss sie einhalten und jede vermutete Schwachstelle oder jeden Vorfall unverzüglich an security@rodmena.co.uk melden. Niemand wird jemals für eine in gutem Glauben erfolgte Meldung benachteiligt.
Zertifizierung
RODMENA LIMITED verfügt über die Cyber Essentials-Zertifizierung für die gesamte Organisation, und diese Richtlinie stellt sicher, dass die durch diese Zertifizierung vorgeschriebenen Kontrollen aufrechterhalten werden. Das Trust Center veröffentlicht die Zertifikatsnummer und die Daten sowie den Status unserer sonstigen Zertifizierungen.