- Wie wird ihre Software verteilt und aktualisiert?
=>Neuinstallation lokal, Updateverteilung zentral - Werden die Mitarbeiter regelmäßig zu Datenschutz und Informationssicherheit (DIS) geschult ?
ja - Wurden die Verfahren auf DSGVO-Relevanz geprüft?
ja - Liegen Zertifizierungen vor? (ISO, etc)
- Gibt es Gerätezertifizerungen für Gerät und Zubehör?
- Ist ein Verfahren zur Identifizierung des Nutzers vorhanden?
Ja, über Benutzerauthentisierung in der custo diagnostic
- Erfolgt eine zentral überwachte Passwortvergabe mit entsprechenden Anforderungen an die Komplexität des Passwortes (Anzahl Stellen, Zeichen) und die Häufigkeit der Änderung desselben?
ja. Das Passwortalter lässt sich nur bei Verwendung von LDAP kontrollieren.
- Wie erfolgt die Überprüfung der Zugriffsberechtigung beim Login?
über den zentralen Server und die Rechte die dort definiert sind.
- Erfolgt ein Sperren des Zugriffes bei fehlerhaften Zugriffsversuchen (Anzahl)?
Eine solche Funktion kommt demnächst.
- Wenn mobile Datenträger verwendet werden:
- Wem gehören diese Datenträger (z.B. firmeneigener oder USB-Stick des Lieferanten)?
- Werden vertrauliche Daten auf der lokalen Festplatte des Laptops gespeichert?
ja, zumindest im Temp-Verzeichnis des angemeldeten Windows-Users. Darüber sind in Abhängigkeit der Konfiguration weitere Speicherorte möglich.
- Wurde eine Risikobewertung zur Verschlüsselung von Daten durchgeführt?
- Wie werden vertrauliche (elektronische) Daten archiviert (z.B. Share, externe Datenträger, Archivierungssystem)?
Nicht in der Grundeinstellung, kann aber konfiguriert werden.
- Werden regelmäßig PenTests durchgeführt und protokolliert?
- Gibt es Ergebnisse von PenTests, oder Scans der Systeme?
- Werden die System regelmäßig nach Schwächen gescannt?
- Wird regelmäßig geprüft, ob es Vulnerabilites der eingesetzten Komponenten gibt? (third Party Tools)
- Welche Third Party Komponenten werden verwendet? (z.B. Open Source)
- Folgen Sie den Regeln des Open Web Application Security Project (OWA SP)?
- Folgen Sie den Grundsätzen für sichere Softwareentwicklung (z.B. Vermeidung von SQL-Injektion, Cross-Site Scripting, Cross-Site Request Forgery, etc)