Technische und organisatorische Maßnahmen Cloudfakt

Diese Anlage beschreibt die Maßnahmen für Auftragsdaten in Cloudfakt. MIKAS darf einzelne Maßnahmen ändern, wenn das Schutzniveau dadurch nicht unterschritten wird.

• Zuständigkeiten für Betrieb, Berechtigungen, Aktualisierungen, Sicherung, Vorfälle und Wiederherstellung sind festgelegt.
• Personen mit administrativem Zugriff werden ausgewählt, zur Vertraulichkeit verpflichtet und auf erforderliche Sicherheitsregeln hingewiesen.
• Zugriffsrechte werden nach dem Erforderlichkeitsprinzip vergeben und bei Wegfall der Aufgabe entzogen.
• Sicherheitsrelevante Änderungen und Vorfälle werden dokumentiert.

• Die Cloudfakt-Kernsysteme werden auf Servern der MIKAS ISP Werbe GmbH im Rechenzentrum der Alpenhost e.U. in Wien, Österreich, betrieben. Soweit zusätzlich Dienste von AWS eingesetzt werden, laufen sie in Rechenzentren von AWS innerhalb der Europäischen Union. Soweit für gebuchte Hosting-, E-Mail- oder VPS-Leistungen Alpenhost e.U. oder Vautron Rechenzentrum AG eingesetzt werden, erfolgt der Betrieb an den in der Unterauftragsverarbeiterliste genannten Standorten innerhalb des Europäischen Wirtschaftsraums.
• Der physische Zutritt zu den Rechenzentren wird durch den jeweiligen Rechenzentrumsbetreiber kontrolliert.
• MIKAS betreibt keine eigenen Serverräume für die produktiven Cloudfakt-Systeme.

• Administrative Zugänge sind personengebunden und durch starke Authentisierung geschützt.
• Berechtigungen für Infrastruktur, Anwendung und Mandanten werden getrennt vergeben.
• Anmeldungen, fehlgeschlagene Anmeldeversuche und sicherheitsrelevante administrative Vorgänge werden protokolliert.
• Sitzungen sind zeitlich begrenzt; Cookies für Sitzungen werden mit Secure-, HttpOnly- und SameSite-Eigenschaften gesetzt.
• Zugangsdaten werden nicht im Klartext gespeichert. Passwörter werden mit einem geeigneten Passwort-Hashverfahren verarbeitet.

• Jeder Kunde erhält einen logisch getrennten Mandanten.
• Anwendungszugriffe werden anhand von Benutzer, Rolle, Berechtigung und Mandant geprüft.
• Direkte produktive Zugriffe durch MIKAS sind auf erforderliche Administratoren und konkrete Betriebs- oder Supportzwecke beschränkt.
• Supportzugriffe erfolgen nur nach Freigabe oder dokumentiertem Supportauftrag, sind zeitlich begrenzt und werden protokolliert.
• Berechtigungen können durch den Kunden innerhalb seines Mandanten verwaltet werden.

• Die Übertragung zwischen Browser und Cloudfakt erfolgt verschlüsselt über TLS.
• Administrative Verbindungen und Datenübertragungen werden über verschlüsselte Protokolle durchgeführt.
• Auftragsdaten werden nur an vom Auftraggeber bestimmte Empfänger, aktivierte Schnittstellen oder genehmigte Unterauftragsverarbeiter übermittelt.
• Exporte werden nur berechtigten Benutzern oder über dokumentierte Supportwege bereitgestellt.

• Produktive Daten, Dateispeicher und Sicherungen der Cloudfakt-Kernsysteme werden auf Servern der MIKAS im Rechenzentrum der Alpenhost e.U. in Österreich und, soweit AWS eingesetzt wird, in ausgewählten AWS-Regionen innerhalb der Europäischen Union gespeichert. Daten aus gebuchten Hosting-, E-Mail- oder VPS-Leistungen werden, soweit dafür Alpenhost e.U. oder Vautron Rechenzentrum AG eingesetzt werden, an den in der Unterauftragsverarbeiterliste genannten Standorten innerhalb des Europäischen Wirtschaftsraums gespeichert.
• Datenträger- und Speicherverschlüsselung wird für produktive Speicher und Sicherungen eingesetzt.
• Geheimnisse und Zugangsdaten für externe Dienste werden verschlüsselt oder in dafür vorgesehenen Geheimnisspeichern abgelegt.
• Schlüssel und Berechtigungen werden getrennt von den geschützten Daten verwaltet, soweit dies technisch vorgesehen ist.

• Cloudfakt protokolliert sicherheitsrelevante Zugriffe und administrative Änderungen.
• Protokolle enthalten nur die für Nachvollziehbarkeit, Sicherheit und Fehlerbehebung erforderlichen Angaben.
• Sicherheitsprotokolle werden grundsätzlich bis zu 400 Tage aufbewahrt; technische Anwendungsprotokolle grundsätzlich 14 Tage.
• Protokolle sind gegen unbefugte Änderung und Zugriff geschützt.

• Automatisierte Sicherungen werden täglich erstellt, verschlüsselt gespeichert und grundsätzlich 14 Tage aufbewahrt.
• Sicherungsdaten werden innerhalb der Europäischen Union gespeichert.
• Wiederherstellungsverfahren und Zuständigkeiten sind festgelegt und werden in angemessenen Abständen überprüft.
• Kapazität, Fehlerzustände und sicherheitsrelevante Ereignisse werden überwacht.
• Änderungen werden mit einer Möglichkeit zur Rückkehr auf einen funktionsfähigen Stand durchgeführt, soweit dies nach Art der Änderung möglich ist.

• Sicherheitskorrekturen für Betriebssystem, Laufzeitumgebung, Bibliotheken und Anwendung werden risikobasiert eingespielt.
• Änderungen werden vor der produktiven Bereitstellung geprüft.
• Produktivdaten werden nicht für allgemeine Entwicklungs- oder Testzwecke verwendet. Ist eine Verarbeitung für einen konkreten Fehlerfall erforderlich, wird sie auf das notwendige Maß beschränkt und geschützt.
• Eingaben werden validiert; technische Schutzmaßnahmen gegen übliche Webangriffe, unbefugte Anfragen und Manipulation werden eingesetzt.

• Neue Benutzer erhalten nur die für ihre Rolle vorgesehenen Rechte.
• Nicht erforderliche öffentliche Freigaben und Schnittstellen sind standardmäßig deaktiviert.
• Protokollierung, Sitzungsdauer und Aufbewahrung sind auf den Betriebs- und Sicherheitszweck begrenzt.
• Der Kunde kann Daten über vorgesehene Funktionen berichtigen, exportieren und löschen, soweit gesetzliche oder technische Gründe nicht entgegenstehen.

• Löschungen im Mandanten werden über die dafür vorgesehenen Funktionen und Berechtigungen ausgeführt.
• Bei Vertragsende wird der Mandant nach Ablauf der Export- und Abruffrist gelöscht.
• Sicherungen werden durch Überschreiben im planmäßigen Zyklus gelöscht.
• Ausgemusterte Speichermedien werden nach den Sicherheitsverfahren des Infrastrukturbetreibers gelöscht oder zerstört.

• Sicherheitsmeldungen werden erfasst, bewertet, eingedämmt, behoben und dokumentiert.
• Bei einer Verletzung des Schutzes von Auftragsdaten wird der Auftraggeber unverzüglich nach Feststellung informiert.
• Beweissicherung, Wiederherstellung und erforderliche Folgemaßnahmen werden nach Art und Schwere des Vorfalls durchgeführt.

• Unterauftragsverarbeiter werden vor Einsatz auf Eignung und ausreichende Datenschutz- und Sicherheitsbedingungen geprüft.
• Mit Unterauftragsverarbeitern werden die erforderlichen vertraglichen Pflichten vereinbart.
• Änderungen werden nach dem im Auftragsverarbeitungsvertrag geregelten Verfahren bekanntgegeben.