Trust Center

Sleak ist der KI-Coach, der die fachlichen Fähigkeiten und das Wissen Ihres Teams im Gespräch entwickelt. Führungskräfte legen fest, was ihr Team lernen oder verbessern soll — der Coach vermittelt es, trainiert es in realistischen Gesprächssimulationen und bewertet den Fortschritt an Ihren eigenen Maßstäben.

Maßnahmen

Die 89 umgesetzten Annex-A-Maßnahmen unseres nach ISO/IEC 27001:2022 zertifizierten Informationssicherheits-Managementsystems.

Organisatorische Sicherheit

37 Maßnahmen

InformationssicherheitsrichtlinienDas Unternehmen unterhält Richtlinien zur Informationssicherheit, die von der Leitung genehmigt, an die Mitarbeitenden kommuniziert und in geplanten Abständen überprüft werden.
Rollen und Verantwortlichkeiten für InformationssicherheitDas Unternehmen definiert Rollen und Verantwortlichkeiten für die Informationssicherheit und weist sie organisationsweit zu.
AufgabentrennungWidersprüchliche Aufgaben und Verantwortungsbereiche werden getrennt, um das Risiko unbefugter oder unbeabsichtigter Änderung oder Missbrauchs der Werte des Unternehmens zu verringern.
Verantwortlichkeiten der LeitungDie Leitung verlangt von allen Beschäftigten, Informationssicherheit gemäß den festgelegten Richtlinien und Verfahren anzuwenden.
Kontakt zu BehördenDas Unternehmen unterhält angemessene Kontakte zu relevanten Behörden, etwa Datenschutz- oder Strafverfolgungsbehörden.
Kontakt zu speziellen InteressengruppenDas Unternehmen unterhält Kontakt zu speziellen Interessengruppen, Sicherheitsforen und Fachverbänden mit Bezug zur Informationssicherheit.
BedrohungsinformationenDas Unternehmen sammelt und analysiert Informationen zu Bedrohungen der Informationssicherheit, um daraus Bedrohungsinformationen zu gewinnen.
Informationssicherheit im ProjektmanagementInformationssicherheit ist in die Projektmanagementprozesse des Unternehmens integriert.
Inventar der Informationen und zugehörigen WerteDas Unternehmen führt ein Inventar der Informationen und weiterer Werte, die mit Informationen und informationsverarbeitenden Einrichtungen verbunden sind.
Zulässiger Umgang mit Informationen und zugehörigen WertenDas Unternehmen dokumentiert und setzt Regeln für den zulässigen Umgang mit Informationen und zugehörigen Werten um.
Rückgabe von WertenBeschäftigte und externe Parteien geben alle in ihrem Besitz befindlichen Werte des Unternehmens bei Beendigung ihres Beschäftigungsverhältnisses, Vertrags oder ihrer Vereinbarung zurück.
Klassifizierung von InformationenInformationen werden anhand rechtlicher und geschäftlicher Anforderungen nach Vertraulichkeit, Integrität, Verfügbarkeit und weiteren Anforderungen klassifiziert.
Kennzeichnung von InformationenDas Unternehmen entwickelt und setzt Verfahren zur Kennzeichnung von Informationen gemäß seinem Klassifizierungsschema um.
InformationsübertragungFür Übertragungen innerhalb des Unternehmens und mit externen Parteien bestehen Regeln, Verfahren und Vereinbarungen zur Informationsübertragung.
ZugangssteuerungRegeln zur Steuerung des physischen und logischen Zugangs zu Informationen und zugehörigen Werten werden auf Basis geschäftlicher und sicherheitsbezogener Anforderungen festgelegt.
IdentitätsmanagementDer vollständige Lebenszyklus von Identitäten wird verwaltet, um die eindeutige Identifikation von Personen und Systemen und die angemessene Zuweisung von Zugangsrechten sicherzustellen.
AuthentifizierungsinformationenDie Vergabe und Verwaltung von Authentifizierungsinformationen wird durch einen Managementprozess gesteuert, einschließlich Hinweisen zum angemessenen Umgang.
ZugangsrechteZugangsrechte zu Informationen und zugehörigen Werten werden gemäß der Zugangssteuerungsrichtlinie des Unternehmens vergeben, überprüft, geändert und entzogen.
Informationssicherheit in LieferantenbeziehungenProzesse und Verfahren zur Steuerung der Informationssicherheitsrisiken aus der Nutzung von Produkten oder Dienstleistungen von Lieferanten sind festgelegt und umgesetzt.
Informationssicherheit in LieferantenvereinbarungenMit jedem Lieferanten werden relevante Informationssicherheitsanforderungen entsprechend der Art der Lieferantenbeziehung vereinbart.
Steuerung der Informationssicherheit in der IKT-LieferketteEs bestehen Prozesse und Verfahren zur Steuerung der Informationssicherheitsrisiken in der Lieferkette für IKT-Produkte und -Dienstleistungen.
Überwachung, Überprüfung und Änderungsmanagement von LieferantendienstleistungenDas Unternehmen überwacht, überprüft und auditiert die Leistungserbringung seiner Lieferanten regelmäßig und steuert Änderungen an Lieferantendienstleistungen.
Informationssicherheit bei der Nutzung von Cloud-DienstenProzesse für Beschaffung, Nutzung, Verwaltung und Beendigung von Cloud-Diensten sind gemäß den Informationssicherheitsanforderungen des Unternehmens festgelegt.
Planung und Vorbereitung der Handhabung von InformationssicherheitsvorfällenDas Unternehmen plant und bereitet die Handhabung von Informationssicherheitsvorfällen vor, indem es Rollen, Verantwortlichkeiten und Verfahren festlegt.
Beurteilung und Entscheidung über InformationssicherheitsereignisseInformationssicherheitsereignisse werden beurteilt, und es wird entschieden, ob sie als Informationssicherheitsvorfälle einzustufen sind.
Reaktion auf InformationssicherheitsvorfälleAuf Informationssicherheitsvorfälle wird gemäß dokumentierten Verfahren reagiert.
Erkenntnisse aus InformationssicherheitsvorfällenAus Informationssicherheitsvorfällen gewonnene Erkenntnisse werden genutzt, um die Informationssicherheitsmaßnahmen zu stärken und zu verbessern.
Sammlung von BeweismaterialDas Unternehmen legt Verfahren zur Identifizierung, Sammlung, Beschaffung und Aufbewahrung von Beweismaterial zu Informationssicherheitsereignissen fest und wendet sie an.
Informationssicherheit während einer StörungDas Unternehmen plant, wie die Informationssicherheit während einer Störung auf einem angemessenen Niveau aufrechterhalten wird.
IKT-Bereitschaft für Business ContinuityDie IKT-Bereitschaft wird auf Basis der Business-Continuity-Ziele und der IKT-Kontinuitätsanforderungen geplant, umgesetzt, aufrechterhalten und getestet.
Rechtliche, gesetzliche, regulatorische und vertragliche AnforderungenFür die Informationssicherheit relevante rechtliche, gesetzliche, regulatorische und vertragliche Anforderungen werden identifiziert, dokumentiert und aktuell gehalten.
Rechte des geistigen EigentumsDas Unternehmen setzt Verfahren zum Schutz der Rechte des geistigen Eigentums und der Nutzung proprietärer Softwareprodukte um.
Schutz von AufzeichnungenAufzeichnungen werden vor Verlust, Zerstörung, Verfälschung, unbefugtem Zugriff und unbefugter Veröffentlichung geschützt.
Privatsphäre und Schutz personenbezogener DatenDas Unternehmen identifiziert und erfüllt die Anforderungen an die Wahrung der Privatsphäre und den Schutz personenbezogener Daten.
Unabhängige Überprüfung der InformationssicherheitDer Ansatz des Unternehmens zur Steuerung der Informationssicherheit wird in geplanten Abständen oder bei wesentlichen Änderungen unabhängig überprüft.
Einhaltung von Richtlinien, Regeln und StandardsDie Einhaltung der Informationssicherheitsrichtlinie, themenspezifischer Richtlinien, Regeln und Standards des Unternehmens wird regelmäßig überprüft.
Dokumentierte BetriebsabläufeBetriebsabläufe für informationsverarbeitende Einrichtungen sind dokumentiert und den Personen zugänglich, die sie benötigen.

Personelle Sicherheit

8 Maßnahmen

SicherheitsüberprüfungVor Eintritt in das Unternehmen werden Hintergrundüberprüfungen von Bewerbenden durchgeführt, angemessen zu den geschäftlichen Anforderungen und dem geltenden Recht.
Beschäftigungs- und VertragsbedingungenArbeitsverträge benennen die Verantwortlichkeiten der Beschäftigten und des Unternehmens für die Informationssicherheit.
Sensibilisierung, Ausbildung und Schulung zur InformationssicherheitBeschäftigte erhalten eine angemessene Sensibilisierung und Schulung zur Informationssicherheit sowie regelmäßige Aktualisierungen zu Richtlinien und Verfahren des Unternehmens.
DisziplinarverfahrenEs besteht ein Disziplinarverfahren, um gegen Beschäftigte vorzugehen, die gegen die Informationssicherheitsrichtlinie verstoßen haben.
Verantwortlichkeiten nach Beendigung oder Wechsel des BeschäftigungsverhältnissesInformationssicherheitsverantwortlichkeiten und -pflichten, die nach Beendigung oder Wechsel des Beschäftigungsverhältnisses fortbestehen, sind festgelegt, kommuniziert und durchgesetzt.
Vertraulichkeits- oder GeheimhaltungsvereinbarungenVertraulichkeits- oder Geheimhaltungsvereinbarungen, die den Schutzbedarf des Unternehmens widerspiegeln, werden identifiziert, dokumentiert, überprüft und von den Beschäftigten unterzeichnet.
Mobiles ArbeitenBeim Arbeiten außerhalb der Unternehmensräume werden Sicherheitsmaßnahmen umgesetzt, um dort abgerufene, verarbeitete oder gespeicherte Informationen zu schützen.
Meldung von InformationssicherheitsereignissenBeschäftigte melden beobachtete oder vermutete Informationssicherheitsereignisse zeitnah über geeignete Kanäle.

Physische Sicherheit

11 Maßnahmen

Physische SicherheitsperimeterSicherheitsperimeter sind festgelegt und werden genutzt, um Bereiche zu schützen, die Informationen und zugehörige Werte enthalten.
Physischer ZutrittSicherheitsbereiche sind durch angemessene Zutrittskontrollen und Zutrittspunkte geschützt.
Sicherung von Büros, Räumen und EinrichtungenPhysische Sicherheit für Büros, Räume und Einrichtungen ist konzipiert und umgesetzt.
Überwachung der physischen SicherheitDie Räumlichkeiten werden fortlaufend auf unbefugten physischen Zutritt überwacht.
Schutz vor physischen und umweltbedingten BedrohungenSchutz vor physischen und umweltbedingten Bedrohungen wie Naturkatastrophen und anderen beabsichtigten oder unbeabsichtigten Bedrohungen ist konzipiert und umgesetzt.
Aufgeräumter Arbeitsplatz und BildschirmsperreRegeln für aufgeräumte Arbeitsplätze im Umgang mit Papier und Wechselmedien sowie Regeln zur Bildschirmsperre an informationsverarbeitenden Einrichtungen sind festgelegt und werden angemessen durchgesetzt.
Sicherheit von Werten außerhalb der RäumlichkeitenWerte außerhalb der Unternehmensräume werden geschützt, wobei die abweichenden Risiken des Arbeitens außerhalb der Räumlichkeiten berücksichtigt werden.
SpeichermedienSpeichermedien werden über ihren gesamten Lebenszyklus von Beschaffung, Nutzung, Transport und Entsorgung gemäß dem Klassifizierungsschema und den Handhabungsanforderungen verwaltet.
VersorgungseinrichtungenInformationsverarbeitende Einrichtungen sind vor Stromausfällen und anderen Störungen durch Ausfälle von Versorgungseinrichtungen geschützt.
Wartung von GerätenGeräte werden ordnungsgemäß gewartet, um Verfügbarkeit, Integrität und Vertraulichkeit von Informationen sicherzustellen.
Sichere Entsorgung oder Wiederverwendung von GerätenBei Geräten mit Speichermedien wird vor Entsorgung oder Wiederverwendung überprüft, dass sensible Daten und lizenzierte Software entfernt oder sicher überschrieben wurden.

Technische Sicherheit

33 Maßnahmen

Endgeräte der BenutzerInformationen, die auf Endgeräten gespeichert, von ihnen verarbeitet oder über sie zugänglich sind, werden geschützt.
Privilegierte ZugangsrechteDie Vergabe und Nutzung privilegierter Zugangsrechte ist eingeschränkt und wird gesteuert.
Einschränkung des InformationszugangsDer Zugang zu Informationen und zugehörigen Werten ist gemäß der Zugangssteuerungsrichtlinie des Unternehmens eingeschränkt.
Zugang zu QuellcodeLese- und Schreibzugriff auf Quellcode, Entwicklungswerkzeuge und Softwarebibliotheken wird angemessen verwaltet.
Sichere AuthentifizierungSichere Authentifizierungstechnologien und -verfahren sind auf Basis der Zugangsbeschränkungen und der Zugangssteuerungsrichtlinie umgesetzt.
KapazitätssteuerungDie Ressourcennutzung wird überwacht und an aktuelle und erwartete Kapazitätsanforderungen angepasst.
Schutz vor SchadsoftwareSchutz vor Schadsoftware ist umgesetzt und wird durch angemessene Sensibilisierung der Benutzer unterstützt.
Handhabung technischer SchwachstellenInformationen über technische Schwachstellen werden eingeholt, die Exponierung des Unternehmens bewertet und angemessene Maßnahmen ergriffen.
KonfigurationsmanagementKonfigurationen von Hardware, Software, Diensten und Netzwerken, einschließlich Sicherheitskonfigurationen, werden festgelegt, dokumentiert, umgesetzt, überwacht und überprüft.
Löschung von InformationenIn Systemen, auf Geräten oder Wechselmedien gespeicherte Informationen werden gelöscht, sobald sie nicht mehr benötigt werden.
DatenmaskierungDatenmaskierung wird gemäß der Zugangssteuerungsrichtlinie, weiteren einschlägigen Richtlinien und den geschäftlichen Anforderungen eingesetzt.
Verhinderung von DatenlecksAuf Systemen, Netzwerken und Geräten, die sensible Informationen verarbeiten, speichern oder übertragen, werden Maßnahmen zur Verhinderung von Datenlecks angewendet.
Sicherung von InformationenSicherungskopien von Informationen, Software und Systemen werden gemäß einer vereinbarten Backup-Richtlinie erstellt und regelmäßig getestet.
Redundanz informationsverarbeitender EinrichtungenInformationsverarbeitende Einrichtungen sind mit einer Redundanz ausgelegt, die den Verfügbarkeitsanforderungen genügt.
ProtokollierungProtokolle über Aktivitäten, Ausnahmen, Fehler und andere relevante Ereignisse werden erzeugt, aufbewahrt, geschützt und ausgewertet.
ÜberwachungstätigkeitenNetzwerke, Systeme und Anwendungen werden auf auffälliges Verhalten überwacht, und es werden angemessene Maßnahmen zur Bewertung möglicher Informationssicherheitsvorfälle ergriffen.
UhrensynchronisationDie Uhren informationsverarbeitender Systeme werden mit genehmigten Zeitquellen synchronisiert.
Verwendung von privilegierten HilfsprogrammenDie Verwendung von Hilfsprogrammen, die System- und Anwendungskontrollen umgehen können, ist eingeschränkt und wird streng kontrolliert.
Installation von Software auf ProduktivsystemenVerfahren und Maßnahmen zur sicheren Steuerung der Softwareinstallation auf Produktivsystemen sind umgesetzt.
NetzwerksicherheitNetzwerke und Netzwerkgeräte werden gesichert, verwaltet und kontrolliert, um Informationen in Systemen und Anwendungen zu schützen.
Sicherheit von NetzwerkdienstenSicherheitsmechanismen, Dienstgüten und Anforderungen an Netzwerkdienste werden identifiziert, umgesetzt und überwacht.
Trennung von NetzwerkenGruppen von Informationsdiensten, Benutzern und Systemen werden in den Netzwerken des Unternehmens voneinander getrennt.
WebfilterungDer Zugriff auf externe Websites wird gesteuert, um die Exponierung gegenüber schädlichen Inhalten zu verringern.
Verwendung von KryptografieRegeln für den wirksamen Einsatz von Kryptografie, einschließlich der Verwaltung kryptografischer Schlüssel, sind festgelegt und umgesetzt.
Sicherer EntwicklungslebenszyklusRegeln für die sichere Entwicklung von Software und Systemen sind festgelegt und werden angewendet.
Sicherheitsanforderungen an AnwendungenInformationssicherheitsanforderungen werden bei der Entwicklung oder Beschaffung von Anwendungen identifiziert, spezifiziert und genehmigt.
Grundsätze für sichere Systemarchitektur und -entwicklungGrundsätze für die Entwicklung sicherer Systeme sind festgelegt, dokumentiert, aufrechterhalten und werden bei jeder Entwicklung von Informationssystemen angewendet.
Sichere ProgrammierungGrundsätze sicherer Programmierung werden in der Softwareentwicklung angewendet.
Sicherheitsprüfung in Entwicklung und AbnahmeProzesse für Sicherheitsprüfungen sind im Entwicklungslebenszyklus festgelegt und umgesetzt.
Trennung von Entwicklungs-, Test- und ProduktionsumgebungenEntwicklungs-, Test- und Produktionsumgebungen sind voneinander getrennt und gesichert.
ÄnderungssteuerungÄnderungen an informationsverarbeitenden Einrichtungen und Systemen unterliegen Verfahren der Änderungssteuerung.
TestinformationenTestinformationen werden angemessen ausgewählt, geschützt und verwaltet.
Schutz von Informationssystemen während der AuditprüfungAuditprüfungen und andere Sicherstellungstätigkeiten an Produktivsystemen werden zwischen den Prüfenden und der zuständigen Leitung geplant und abgestimmt.