Checkliste für die Überprüfung der Cybersicherheit

• Abteilung

• Datum und Uhrzeit der Inspektion

  Date

• IT-Mitarbeiter (voller Name)

MITARBEITER

• Trägt Ihr Personal Ausweiskarten?

  Ja

  Nein

  n. a.

• Ist ein aktuelles Foto Teil des Ausweises?

  Ja

  Nein

  n. a.

• Sind die Zugangslevels und die Art der Berechtigung (Mitarbeiter, Auftragnehmer, Besucher) auf dem Ausweis angegeben?

  Ja

  Nein

  n. a.

• Überprüfen Sie die Zeugnisse von externen Auftragnehmern?

  Ja

  Nein

  n. a.

• Haben Sie Richtlinien für die Zuverlässigkeitsüberprüfung von Mitarbeitern und Auftragnehmern?

  Ja

  Nein

  n. a.

• Haben Sie ein Verfahren, um den Zugang zu Einrichtungen und Informationssystemen bei Beendigung des Arbeitsverhältnisses eines Mitarbeiters/Auftragnehmers wirksam zu sperren?

  Ja

  Nein

  n. a.

PHYSISCHE SICHERHEIT

• Haben Sie Richtlinien und Verfahren, die den autorisierten und nicht autorisierten physischen Zugang zu elektronischen Informationssystemen und den Einrichtungen, in denen sie untergebracht sind, regeln?

  Ja

  Nein

  n. a.

• Sind in Ihren Richtlinien und Verfahren die Methoden zur Kontrolle des physischen Zugangs zu Ihren Sicherheitsbereichen festgelegt, z. B. Türschlösser, Zugangskontrollsysteme, Sicherheitsbeauftragte oder Videoüberwachung?

  Ja

  Nein

  n. a.

• Wird der Zugang zu Ihrem Computerbereich kontrolliert (zentrale Anlaufstelle, Empfangs- oder Sicherheitsschalter, An-/Abmeldeprotokoll, temporäre Ausweise/Besucherausweise)?

  Ja

  Nein

  n. a.

• Werden Besucher beim Betreten und Verlassen der Kontrollbereiche begleitet?

  Ja

  Nein

  n. a.

• Sind Ihre PCs für Unbefugte unzugänglich (z. B. nicht in öffentlichen Bereichen)?

  Ja

  Nein

  n. a.

• Sind Computerbereich und Geräte physisch gesichert?

  Ja

  Nein

  n. a.

• Gibt es Verfahren, die verhindern, dass Computer auch nur kurzzeitig in einem angemeldeten Zustand zurückgelassen werden?

  Ja

  Nein

  n. a.

• Werden Bildschirme nach 10 Minuten Inaktivität automatisch gesperrt?

  Ja

  Nein

  n. a.

• Sind die Modems auf Auto-Answer OFF (keine Annahme eingehender Anrufe) eingestellt?

  Ja

  Nein

  n. a.

• Haben Sie Verfahren zum Schutz von Daten bei der Reparatur von Geräten?

  Ja

  Nein

  n. a.

• Gibt es Richtlinien für die Sicherheit von Laptops (z. B. Kabelschloss oder sichere Aufbewahrung)?

  Ja

  Nein

  n. a.

• Haben Sie einen Evakuierungsplan für Notfälle und ist dieser aktuell?

  Ja

  Nein

  n. a.

• Enthält Ihr Plan Angaben zu Bereichen und Einrichtungen, die im Notfall sofort abgeriegelt werden müssen?

  Ja

  Nein

  n. a.

• Kennen Mitarbeiter in Schlüsselpositionen die Bereiche und Einrichtungen, die abgeriegelt werden müssen, und wissen sie, wie?

  Ja

  Nein

  n. a.

KONTO- UND PASSWORTVERWALTUNG

• Gibt es Richtlinien und Standards für die elektronische Authentifizierung, Autorisierung und Zugriffskontrolle von Mitarbeitern und Ressourcen auf Ihre Informationssysteme, Anwendungen und Daten?

  Ja

  Nein

  n. a.

• Stellen Sie sicher, dass nur befugtes Personal Zugang zu Ihren Computern hat?

  Ja

  Nein

  n. a.

• Werden geeignete Passwörter gefordert und durchgesetzt?

  Ja

  Nein

  n. a.

• Sind Ihre Passwörter sicher (nicht leicht zu erraten, regelmäßig geändert, keine temporären oder Standard-Passwörter verwendet)?

  Ja

  Nein

  n. a.

• Sind Ihre Computer so eingestellt, dass andere Personen die Eingabe von Passwörtern nicht sehen können?

  Ja

  Nein

  n. a.

VERTRAULICHKEIT SENSIBLER DATEN

• Klassifizieren Sie Ihre Daten und unterscheiden Sie zwischen sensiblen und nicht sensiblen Daten?

  Ja

  Nein

  n. a.

• Sind Sie verantwortlich für den Schutz sensibler Daten, die Sie kontrollieren?

  Ja

  Nein

  n. a.

• Sind die wertvollsten oder sensibelsten Daten verschlüsselt?

  Ja

  Nein

  n. a.

• Haben Sie eine Richtlinie für die Aufbewahrung von Informationen (sowohl in Papier- als auch in elektronischer Form)?

  Ja

  Nein

  n. a.

• Haben Sie Verfahren für den Umgang mit Kreditkarteninformationen eingerichtet?

  Ja

  Nein

  n. a.

• Haben Sie Verfahren für den Umgang mit personenbezogenen Daten?

  Ja

  Nein

  n. a.

• Gibt es ein Verfahren zur Erstellung abrufbarer Sicherungs- und Archivierungskopien wichtiger Informationen?

  Ja

  Nein

  n. a.

• Haben Sie Verfahren für die Entsorgung von Abfallstoffen?

  Ja

  Nein

  n. a.

• Wird Papiermüll in die Mülltonne geworfen oder geschreddert?

  Ja

  Nein

  n. a.

• Ist Ihr Schredderbehälter immer verschlossen?

  Ja

  Nein

  n. a.

• Schützen Ihre Richtlinien zur Entsorgung alter Computerausrüstung vor Datenverlusten (z. B. durch Auslesen alter Disketten und Festplatten)?

  Ja

  Nein

  n. a.

• Sind in Ihren Entsorgungsverfahren geeignete Technologien und Methoden vorgesehen, um Hardware und elektronische Medien unbrauchbar und unzugänglich zu machen (z. B. Schreddern von CDs und DVDs, elektronisches Löschen von Laufwerken, Brennen von Bändern usw.)?

  Ja

  Nein

  n. a.

DATENWIEDERHERSTELLUNG IM NOTFALL

• Haben Sie einen aktuellen Betriebskontinuitätsplan?

  Ja

  Nein

  n. a.

• Gibt es ein Verfahren zur Erstellung abrufbarer Sicherungs- und Archivierungskopien wichtiger Informationen?

  Ja

  Nein

  n. a.

• Haben Sie einen Kommunikationsplan für das Management bei Notfällen/Unfällen?

  Ja

  Nein

  n. a.

• Haben Sie ein Verfahren zur Benachrichtigung der Behörden im Falle einer Notlage oder eines Sicherheitsvorfalls?

  Ja

  Nein

  n. a.

• Legt Ihr Verfahren fest, wer kontaktiert werden sollte, einschließlich der Kontaktdaten?

  Ja

  Nein

  n. a.

• Sind die Kontaktinformationen nach Art des Vorfalls sortiert und gekennzeichnet?

  Ja

  Nein

  n. a.

• Ist in Ihrem Verfahren festgelegt, wer den Kontakt aufnehmen soll?

  Ja

  Nein

  n. a.

• Haben Sie festgelegt, wer im Falle eines Notfalls oder eines Zwischenfalls mit der Presse/Öffentlichkeit sprechen wird?

  Ja

  Nein

  n. a.

• Umfasst Ihr Kommunikationsplan die interne Kommunikation mit Ihren Mitarbeitern und deren Familien?

  Ja

  Nein

  n. a.

• Können die Notfallmaßnahmen von den Verantwortlichen bei Bedarf angemessen umgesetzt werden?

  Ja

  Nein

  n. a.

SICHERHEITSBEWUSSTSEIN

• Informieren Sie Ihre Mitarbeiter über Computersicherheit?

  Ja

  Nein

  n. a.

• Bieten Sie regelmäßig stattfindende Schulungen an?

  Ja

  Nein

  n. a.

• Wird den Mitarbeitern beigebracht, auf mögliche Sicherheitsverstöße zu achten?

  Ja

  Nein

  n. a.

• Werden Ihre Mitarbeiter angewiesen, ihre Passwörter sicher aufzubewahren?

  Ja

  Nein

  n. a.

• Sind Ihre Mitarbeiter in der Lage, vertrauliche Daten zu erkennen und zu schützen, einschließlich Papierdokumente, Wechseldatenträger und elektronische Dokumente?

  Ja

  Nein

  n. a.

• Vermittelt Ihr Informations- und Schulungsplan die richtigen Methoden zur Verwaltung von Kreditkartendaten (PCI-Standards) und persönlichen Daten (Steuernummern, Namen, Adressen, Telefonnummern usw.)?

  Ja

  Nein

  n. a.

COMPLIANCE

• Überprüfen und überarbeiten Sie Ihre Sicherheitsdokumente regelmäßig, z. B. Richtlinien, Standards, Verfahren und Leitlinien?

  Ja

  Nein

  n. a.

• Prüfen Sie Ihre Prozesse und Verfahren auf Übereinstimmung mit festgelegten Richtlinien und Standards?

  Ja

  Nein

  n. a.

• Testen Sie Ihre Notfallpläne in regelmäßigen Abständen?

  Ja

  Nein

  n. a.

• Überprüft die Geschäftsleitung regelmäßig die Listen der Personen mit physischem Zugang zu sensiblen Einrichtungen oder elektronischen Zugang zu Informationssystemen?

  Ja

  Nein

  n. a.

ABSCHLUSS

• Allgemeine Empfehlungen

• IT-Mitarbeiter (Name und Unterschrift)

  Sign