SICHERHEITSANLAGE

    1. LOGISCHE ZUGRIFFSKONTROLLE
      1. Zugriff
        1. Riskonnect verweigert standardmäßig jeglichen Zugriff auf Informationssysteme und Ressourcen. Der Zugriff wird auf Anfrage für spezifische Geschäftszwecke und in Übereinstimmung mit den Prinzipien des geringsten Privilegs und der Aufgabentrennung gewährt. Riskonnect kontrolliert die Nutzung administrativer Privilegien durch Verfolgung, Verhinderung und Korrektur der Nutzung, Zuweisung und Konfiguration administrativer Privilegien auf Computern, Netzwerken und Anwendungen mittels eines formalen Zugriffsrezertifizierungsprozesses.
        2. Riskonnect unterhält angemessene Nutzungsbeschränkungen und Konfigurations-/Verbindungsanforderungen für den Zugriff auf Informationssysteme (einschließlich drahtloser Systeme), die eine vorherige Autorisierung für den Zugriff auf die Systeme erfordern, bevor solche Verbindungen zugelassen werden. Jeder Zugriff auf die Informationssysteme und Ressourcen von Riskonnect bedarf der Genehmigung durch das Management.
        3. Riskonnect unterhält angemessene Nutzungsbeschränkungen, Konfigurations-/Verbindungsanforderungen und Implementierungsrichtlinien für organisationskontrollierte mobile Geräte und autorisiert (wie oben beschrieben) die Verbindung mobiler Geräte mit den Informationssystemen der Organisation.
      2. Kontoverwaltung. Riskonnect konfiguriert seine Informationssysteme und Ressourcen so, dass Zugriffsrichtlinien und -standards durchgesetzt werden, und verlangt oder erzwingt, dass sich Benutzer nach einer vorab festgelegten Zeit der Inaktivität abmelden.
    2. BEWUSSTSEIN UND SCHULUNG
      1. Schulung zum Sicherheitsbewusstsein
        1. Riskonnect unterhält, überprüft regelmäßig, dokumentiert und führt Schulungen zum Sicherheitsbewusstsein für alle Mitarbeiter von Riskonnect durch.
        2. Die Schulung wird im Rahmen des Onboarding-Prozesses für neue Mitarbeiter und danach jährlich durchgeführt.
    3. PRÜFUNG UND RECHENSCHAFT
      1. Audit-Protokolle. Die Informationssysteme von Riskonnect generieren Audit-Protokolle, die den Ereignistyp, Datum und Uhrzeit des Ereignisses, den Ort des Ereignisses, die Quelle des Ereignisses, das Ergebnis und die Reaktion auf das Ereignis sowie die mit dem Ereignis verbundenen Personen enthalten und auf Anfrage solche Informationen, die für die spezifische Anwendung des Kunden relevant sind, angemessen bereitstellen.
      2. Systemprotokollierung und -überprüfung
        1. Die Informationssysteme von Riskonnect schützen Audit-Informationen, einschließlich Audit-Aufzeichnungen, Audit-Einstellungen, Audit-Berichte und Audit-Tools, vor unbefugtem Zugriff, Änderung und Löschung. Audit-Informationen müssen auf einem physisch anderen System oder einer anderen Systemkomponente als dem geprüften System oder der Komponente gesichert werden. Die Informationssysteme von Riskonnect implementieren kryptografischen Schutz, um die Integrität der Audit-Informationen zu gewährleisten, und setzen die Prinzipien der Aufgabentrennung und des geringsten Privilegs bei der Überprüfung, Analyse und Berichterstattung von Audit-Aufzeichnungen durch.
        2. Riskonnect bewahrt Audit-Protokolle auf, um nachträgliche Untersuchungen von Sicherheitsvorfällen zu unterstützen und die gesetzlichen und organisatorischen Anforderungen an die Informationsaufbewahrung zu erfüllen.
        3. Je nach relevanter Hosting-Umgebung, in der die Riskonnect-Anwendung residieren und Kundendaten verarbeitet werden, und wie im anwendbaren Produktplan detailliert, wird diese Hosting-Umgebung (a) einer jährlichen SOC2 Typ2-Prüfung unterzogen (außer für Active Risk- und Ventiv-Anwendungen) und (b) eine ISO 27001-Zertifizierung erreicht haben. Zusätzlich beauftragt Riskonnect im Rahmen der jährlichen SOC2 Typ2-Prüfung oder des ISO 27001-Zertifizierungsprozesses einen qualifizierten Dritten mit der Durchführung einer Prüfung und von Penetrationstests der betreffenden Hosting-Umgebung. Anstatt dem Kunden die Durchführung eigener Prüfungen oder Penetrationstests der betreffenden Hosting-Umgebung zu gestatten (jedoch vorbehaltlich einer gesetzlichen Anforderung an den Kunden, eine solche Prüfung durchzuführen), stellt Riskonnect seinen Kunden auf Anfrage zur Verfügung: (1) gegebenenfalls eine Kopie seines neuesten SOC 2 Typ2-Berichts und/oder eine Kopie seines neuesten ISO 27001-Zertifikats; und (2) eine Zusammenfassung der Ergebnisse der zugehörigen jährlichen Penetrationstests. Schließlich wird Riskonnect auf zusätzliche Fragebögen zur Informationssicherheit von Kunden antworten, solange diese Fragebögen (i) nicht öfter als einmal pro zwölf (12) Monate bei Riskonnect eingereicht werden und (ii) auf das SIG Lite- oder CAIQ-Format beschränkt sind.
    4. SICHERHEITSBEWERTUNG UND -AUTORISIERUNG
      1. Sicherheitsautorisierung. Riskonnect weist einen leitenden Angestellten oder Manager als autorisierende Person für die Informationssysteme zu, stellt sicher, dass diese Person die Informationssysteme vor Betriebsbeginn zur Verarbeitung autorisiert und aktualisiert die Sicherheitsautorisierung bei Bedarf regelmäßig.
      2. Kontinuierliche Überwachung. Riskonnect unterhält eine Data Loss Prevention („DLP“)-Strategie, um Datenexfiltration zu verhindern, die Auswirkungen exfiltrierter Daten zu mindern und die Vertraulichkeit und Integrität sensibler Informationen zu gewährleisten. Riskonnect unterhält ein kontinuierliches Überwachungsprogramm, das die Festlegung zu überwachender Metriken, die Häufigkeit der Überwachung, Reaktionsmaßnahmen zur Bewältigung der Analyseergebnisse und die Berichterstattung über den Sicherheitsstatus des Riskonnect-Informationssystems an das entsprechende Personal umfasst.
    5. KONFIGURATIONSMANAGEMENT
      1. Inventar der Informationssystemkomponenten. Riskonnect entwickelt, dokumentiert und aktualisiert regelmäßig ein Inventar der Informationssystemkomponenten. Riskonnect erkennt, verfolgt und beschränkt alle Hardwaregeräte in seinen nicht-öffentlichen Netzwerken, sodass nur autorisierten Geräten Zugriff gewährt wird, und erkennt, verfolgt und beschränkt alle Software in solchen Netzwerken, sodass nur autorisierte Software installiert wird.
      2. Konfigurationsmanagementplan. Riskonnect erstellt und implementiert einen Konfigurationsmanagementplan, der das Prinzip der geringsten Funktionalität anwendet. Riskonnect erstellt, implementiert und verfolgt, korrigiert und berichtet aktiv über die Sicherheitskonfiguration von Netzwerkinfrastrukturgeräten unter Verwendung eines rigorosen Konfigurationsmanagement- und Änderungskontrollprozesses, der angemessen darauf ausgelegt ist, Angreifer daran zu hindern, anfällige Dienste und Einstellungen auszunutzen. Der Konfigurationsmanagementplan behandelt Rollen und Verantwortlichkeiten sowie die Behebung von Fehlern und definiert detaillierte Prozesse und Verfahren, wie das Konfigurationsmanagement zur Unterstützung des Systementwicklungslebenszyklus von Riskonnect eingesetzt wird. Der Plan beschreibt, wie Änderungen durch das System bewegt werden, wie Baselines und Konfigurationseinstellungen aktualisiert werden, wie Systemkomponenteninventare gepflegt werden und wie Entwicklungs-, Test- und Betriebsumgebungen kontrolliert werden.
      3. Baseline-Konfiguration und Härtung. Riskonnect entwickelt, dokumentiert und pflegt aktuelle Baseline-Konfigurations- und Härtungsanforderungen für die Informationssysteme von Riskonnect. Baseline-Konfigurationen und Härtungsanforderungen werden regelmäßig sowie im Rahmen von Installationen und Updates von Informationssystemkomponenten überprüft und aktualisiert. Sicherheitskonformitätsbewertungen werden an neuen Servern und Anwendungen vor der Migration in die Produktion durchgeführt und regelmäßig risikobasiert wiederholt, um die Einhaltung der Systemhärtungsanforderungen von Riskonnect sicherzustellen. Riskonnect bewahrt frühere Versionen der Baseline-Konfigurationen der Informationssysteme auf, um Rollbacks zu unterstützen, und unterhält eine Baseline-Konfiguration für Informationssystementwicklungs- und Testumgebungen, die separat von der operativen Baseline-Konfiguration verwaltet werden.
      4. Konfigurationsänderungskontrolle. Riskonnect etabliert und implementiert einen formalen Änderungskontrollprozess, der darauf abzielt, unautorisierte Änderungen zu verhindern, und dokumentiert alle Änderungen an der Netzwerkinfrastruktur. Riskonnect testet, validiert und dokumentiert Änderungen an den Informationssystemen, bevor die Änderungen an den operativen Systemen implementiert werden, und verlangt, dass ein Vertreter der Informationssicherheit Mitglied des Konfigurationsänderungskontrollteams ist.
    6. NOTFALLPLANUNG
      1. Notfallplan. Riskonnect entwickelt einen Notfallplan für die Informationssysteme, der wesentliche Geschäftsmissionen/-funktionen und die damit verbundenen Notfallanforderungen identifiziert, Wiederherstellungsziele und -reaktionen bereitstellt, Notfallrollen und -verantwortlichkeiten behandelt, die Aufrechterhaltung wesentlicher Geschäftsfunktionen im Falle einer Systemstörung oder eines Ausfalls adressiert und die vollständige Systemwiederherstellung ohne Beeinträchtigung der vorhandenen Sicherheitsvorkehrungen behandelt. Der Notfallplan wird regelmäßig und mindestens jährlich sowie bei Bedarf zur Berücksichtigung von Änderungen im Bedrohungsumfeld überprüft und aktualisiert.
      2. Informationssystem-Backup und alternativer Speicherort. Riskonnect führt Backups von Informationen auf Benutzerebene, Systemebene und Systemdokumentationen, einschließlich sicherheitsrelevanter Dokumentationen, durch. Riskonnect unterhält alternative Speicherorte, die die Speicherung und schnelle Wiederherstellung von Informationssystem-Backup-Informationen ermöglichen. Die Speicherung von Informationssystem-Backups ist mit Informationssicherheitsvorkehrungen von gleichwertiger Stärke wie die des primären Systems und Speicherorts geschützt.
      3. Wiederherstellung und Rekonstitution von Informationssystemen. Riskonnect sorgt unverzüglich für die Wiederherstellung und Rekonstitution von Informationssystemen in einen normalen Betriebszustand nach Störung, Kompromittierung oder Ausfall. Dieser Wiederherstellungsplan umfasst die transaktionsbasierte Wiederherstellung und schützt Backup- und Wiederherstellungs-Hardware, -Software und -Firmware.
    7. IDENTIFIZIERUNG UND AUTHENTIFIZIERUNG
      1. Eindeutige Identifizierung. Die Informationssysteme von Riskonnect identifizieren und authentifizieren sowohl organisatorische als auch nicht-organisatorische Benutzer und/oder Prozesse, die im Auftrag von Benutzern handeln, eindeutig, sodass alle Benutzeraktivitäten auf die Person(en) zurückverfolgt werden können, die die Aktivität durchgeführt haben. Die Systeme von Riskonnect verwenden branchenübliche Verschlüsselung für alle Authentifizierungsmechanismen, bieten föderierte Identitätsfunktionen und implementieren Replay-resistente Authentifizierungsmechanismen. Informationssysteme implementieren Multifaktor-Authentifizierung für den Netzwerk- und lokalen Zugriff auf privilegierte und nicht-privilegierte Konten.
      2. Nichtabstreitbarkeit. Die Informationssysteme von Riskonnect setzen die Nichtabstreitbarkeit durch, sodass die Gültigkeit und Authentizität einer Aktion oder Aufgabe nicht bestritten werden kann, einschließlich des Erstellens und/oder Änderns von Informationen, des Sendens und Empfangens von Nachrichten, des Genehmigens von Informationen, des Unterzeichnens von Verträgen und des Genehmigens von Beschaffungsanfragen.
      3. Geräteidentifizierung und -authentifizierung. Geräte, die versuchen, auf das Netzwerk von Riskonnect zuzugreifen, werden vor dem Aufbau einer Netzwerkverbindung eindeutig identifiziert und über ein Network Access Control-System (oder andere vergleichbare Mittel) authentifiziert.
      4. Authentifizierungsmanagement. Riskonnect verwaltet Informationssystem-Anmeldeinformationen/Authentifikatoren unter Verwendung branchenüblicher Best Practices. Riskonnect berücksichtigt die Art der Authentifizierung (z. B. Hardware-Token-basiert, PKI-basiert, Passwort-basiert, Biometrie-basiert usw.) und wendet bei Bedarf zusätzliche Sicherheitskontrollen an.
    8. VORFALLREAKTION
      1. Programm zur Vorfallreaktion. Riskonnect unterhält ein schriftliches Programm zur Vorfallreaktion, das die Vorbereitung, Erkennung, Analyse, Eindämmung, Beseitigung und Wiederherstellung von Cybersecurity-Ereignissen behandelt. Dieses Programm umfasst Verfahren, die beschreiben: (i) Rollen und Verantwortlichkeiten des Incident-Response-Teams; (ii) Kommunikationsanforderungen mit internen und externen Partnern; (iii) Pläne zur Erkennung, Reaktion und Eindämmung gängiger Vorfallkategorien; (iv) Methoden zur Beweissicherung, Aufrechterhaltung der Beweiskette und Durchführung forensischer Analysen; (v) Koordination von Wiederherstellungsprozessen; (vi) Nachbereitungsprozesse; und (vii) Berichterstattung, um sicherzustellen, dass kritische Details von Vorfällen verfolgt und gewonnene Erkenntnisse in laufende Reaktionsverfahren, Schulungen und Tests integriert werden. Das Programm zur Vorfallreaktion umfasst die Koordination von Vorfallbearbeitungsaktivitäten bei Lieferkettenereignissen mit anderen an der Lieferkette beteiligten Organisationen. Das Programm zur Vorfallreaktion wird mindestens jährlich überprüft und aktualisiert.
      2. Vorfallbearbeitung. Wenn Riskonnect einen Sicherheitsvorfall entdeckt oder darüber benachrichtigt wird, der Kundendaten und/oder -systeme beeinträchtigt oder beeinträchtigen könnte, wird Riskonnect unverzüglich: (i) den Sicherheitsvorfall untersuchen; (ii) das Risiko für die Kundendaten oder -systeme und andere Auswirkungen des Sicherheitsvorfalls beheben, mindern oder mindern und beheben; (iii) alle zugehörigen Aufzeichnungen und andere Beweismittel sichern; und (iv) einen Plan zur Verhinderung des Wiederauftretens eines solchen Sicherheitsvorfalls implementieren.
      3. Vorfallbenachrichtigung. Wenn Riskonnect einen Sicherheitsvorfall entdeckt oder darüber benachrichtigt wird, wird Riskonnect den Kunden unverzüglich schriftlich darüber informieren, jedoch spätestens zweiundsiebzig (72) Stunden nachdem Riskonnect Kenntnis von einem Sicherheitsvorfall erlangt hat, einschließlich der Offenlegung von (i) Datum, Uhrzeit und Ursache des Vorfalls, falls bekannt; (ii) den Kundendaten und/oder Systemen, die exponiert waren oder bei denen vernünftigerweise angenommen wird, dass sie exponiert waren; und (iii) ob nicht-öffentliche persönlich identifizierbare Informationen abgerufen wurden.
      4. Berichterstattung. Riskonnect wird dem Kunden einen schriftlichen Bericht über das Ergebnis seiner Untersuchung zukommen lassen, einschließlich etwaiger Risiken für Kundendaten und/oder -systeme und der Korrekturmaßnahmen, die Riskonnect zur Reaktion auf den Sicherheitsvorfall ergriffen hat.
    9. WARTUNG
      1. Wartung aus der Ferne. Riskonnect: (i) genehmigt, dokumentiert und überwacht Wartungs- und Diagnoseaktivitäten aus der Ferne; (ii) erlaubt die Nutzung von Wartungs- und Diagnosewerkzeugen aus der Ferne nur im Einklang mit der Organisationsrichtlinie und dokumentiert dies im Sicherheitsplan für das Informationssystem; (iii) erfordert eine Multifaktor-Authentifizierung zur Einrichtung von Wartungs- und Diagnosesitzungen aus der Ferne über externe Netzwerkverbindungen; (iv) führt Aufzeichnungen über Wartungs- und Diagnoseaktivitäten aus der Ferne; und (v) beendet Sitzungen und Netzwerkverbindungen, wenn die Wartung aus der Ferne abgeschlossen ist. Riskonnect schützt Wartungssitzungen aus der Ferne durch den Einsatz von Replay-resistenten Authentifikatoren und die Trennung der Wartungssitzungen von anderen Netzwerksitzungen durch physisch oder logisch getrennte Kommunikationswege basierend auf Verschlüsselung.
      2. Rechtzeitige Wartung. Riskonnect genehmigt, beschafft und dokumentiert die Wartung, den Support und die Reparatur von Informationssystemen und Informationssystemkomponenten zeitnah nach System- oder Komponentenausfall. Riskonnect führt präventive Wartung an kritischen Informationssystemkomponenten in regelmäßigen Abständen oder bei Bedarf durch, um sicherzustellen, dass sie betriebsbereit sind. Sicherheitskontrollen, die während Wartungs- oder Reparaturaktivitäten potenziell betroffen sind, werden nach der Aktivität auf ordnungsgemäße Funktion überprüft. Riskonnect wendet Software-Patches, Updates und Code-Fixes unverzüglich an, sobald sie verfügbar sind.
    10. MEDIENSCHUTZ
      1. Mediennutzung. Riskonnect setzt sowohl technische als auch nicht-technische Schutzmaßnahmen ein, um die Verwendung von Wechselmedien und tragbaren Speichergeräten einzuschränken.
      2. Medienspeicherung. Riskonnect kontrolliert physisch und speichert sicher sowohl digitale als auch nicht-digitale Medien und schützt Informationssystemmedien, bis diese Medien unter Verwendung sicherer Datenvernichtungstechniken zerstört oder bereinigt werden. Riskonnect beschränkt den Zugriff auf Medienspeicherbereiche und führt Zugriffsprotokolle für erfolgreiche und erfolglose Zugriffsversuche.
      3. Medientransport. Riskonnect: (i) schützt und kontrolliert Informationssystemmedien während des Transports außerhalb kontrollierter Bereiche mittels physischer und technischer Schutzmaßnahmen; (ii) gewährleistet die Rechenschaftspflicht für Informationssystemmedien während des Transports außerhalb kontrollierter Bereiche; (iii) dokumentiert Aktivitäten im Zusammenhang mit dem Transport von Informationssystemmedien; und (iv) beschränkt die Aktivitäten im Zusammenhang mit Informationssystemmedien auf autorisiertes Personal. Informationssysteme implementieren kryptografische Mechanismen, um die Vertraulichkeit und Integrität von auf digitalen Medien gespeicherten Informationen während des Transports außerhalb kontrollierter Bereiche zu schützen.
      4. Medienbereinigung. Riskonnect bereinigt Informationssystemmedien vor der Entsorgung, Freigabe aus der organisatorischen Kontrolle oder Freigabe zur Wiederverwendung gemäß den Organisationsrichtlinien, wobei Bereinigungsmechanismen mit einer Stärke und Integrität eingesetzt werden, die der Sicherheitskategorie oder Klassifizierung der Informationen entsprechen. Riskonnect: (i) überprüft und genehmigt zu bereinigende Medien, um die Wirksamkeit und Einhaltung der Aufbewahrungsrichtlinien zu gewährleisten, und (ii) verfolgt und dokumentiert den Medienbereinigungsprozess, einschließlich des Personals, das diese Medien gehandhabt hat, und überprüft, ob die Bereinigung der Medien vor der Entsorgung wirksam war. Die Informationssysteme, Systemkomponenten und Systemgeräte können aus der Ferne gelöscht/bereinigt werden, um Daten vor unbefugten Personen zu schützen.
    11. PHYSIKALISCHER UND UMWELTSCHUTZ
      1. Physische Zugangskontrolle. Riskonnect: (i) setzt physische Zugangsberechtigungen an den Ein-/Ausgangspunkten der Einrichtung durch, indem individuelle Zugangsberechtigungen vor Gewährung des Zugangs zur Einrichtung überprüft werden; (ii) führt physische Zugriffs-Audit-Protokolle für Ein-/Ausgangspunkte; und (iii) verwendet Sicherheitsvorkehrungen zur Kontrolle des Zugangs zu solchen Einrichtungen, einschließlich des Einsatzes von Sicherheitspersonal (nur in Datenverarbeitungszentren, in denen Kundendaten gespeichert sind) und physischen Zugangskontrollgeräten (z. B. Alarme, Kartenleser, Tastaturen).
      2. Standort von Informationssystemkomponenten. Riskonnect positioniert Informationssystemkomponenten innerhalb der Einrichtung, um potenzielle Schäden durch Umweltrisiken (z. B. Überschwemmungen, Feuer, Tornados, Erdbeben, Hurrikane, Vandalismus, Terrorakte, elektromagnetischer Puls, elektrische Störungen usw.) sowie physische Gefahren, einschließlich der Möglichkeit unbefugten Zugriffs, zu minimieren.
    12. PLANUNG
      1. Informationssicherheitsarchitektur. Riskonnect unterhält eine Informationssicherheitsarchitektur für die Informationssysteme, die eine Architekturbeschreibung, die Platzierung/Zuweisung von Sicherheitsfunktionen (einschließlich Sicherheitskontrollen), sicherheitsrelevante Informationen für externe Schnittstellen, die über die Schnittstellen ausgetauschten Informationen und die mit jeder Schnittstelle verbundenen Schutzmechanismen umfasst. Die Informationssicherheitsarchitektur wird regelmäßig überprüft und aktualisiert, um Aktualisierungen in der Unternehmensarchitektur, externe Auswirkungen und Branchenpraktiken widerzuspiegeln.
    13. PERSONALSICHERHEIT
      1. Personalüberprüfung. Riskonnect überprüft Personen, bevor der Zugriff auf die Informationssysteme von Riskonnect autorisiert wird. Die Überprüfung umfasst (kann aber je nach Standort nicht darauf beschränkt sein) Identitätsprüfung, strafrechtliche Überprüfung und Bildungsnachweis. Das Personal von Riskonnect ist verpflichtet, jede Verurteilung wegen eines Verbrechens, Diebstahls oder Vertrauensbruchs während ihrer Anstellung innerhalb von 30 Tagen nach der Verurteilung selbst zu melden.
      2. Beendigung des Arbeitsverhältnisses. Bei Beendigung des Arbeitsverhältnisses wird Riskonnect unverzüglich: (i) den Informationssystemzugriff der Person deaktivieren; (ii) alle mit der Person verbundenen Authentifikatoren/Anmeldeinformationen beenden/widerrufen; (iii) Austrittsgespräche führen, die Themen der Informationssicherheit umfassen; (iv) alle sicherheitsrelevanten, organisationsbezogenen Informationssystemeigentümer (z. B. Hardware-Authentifizierungstoken, technische Handbücher zur Systemadministration, Schlüssel, Ausweise, Gebäudeausweise usw.) zurückfordern; und (v) den Zugriff auf organisatorische Informationen und Informationssysteme, die zuvor von der ausgeschiedenen Person kontrolliert wurden, beibehalten.
    14. RISIKOBEWERTUNG
      1. Risikobewertung. Riskonnect: (i) führt eine Risikobewertung durch, einschließlich der Wahrscheinlichkeit und des Ausmaßes von Schäden durch unbefugten Zugriff, Nutzung, Offenlegung, Störung, Änderung oder Zerstörung der Informationssysteme und der von ihnen verarbeiteten, gespeicherten oder übertragenen Informationen; (ii) dokumentiert und überprüft die Ergebnisse der Risikobewertung; und (iii) aktualisiert die Risikobewertung mindestens jährlich und immer dann, wenn es wesentliche Änderungen am Informationssystem oder der Betriebsumgebung gibt (z. B. die Identifizierung neuer Bedrohungen und Schwachstellen).
      2. Schwachstellen-Scanning. Riskonnect: (i) scannt mindestens jährlich und bei Identifizierung neuer Schwachstellen, die das System/die Anwendungen potenziell betreffen, nach Schwachstellen in der gehosteten Anwendung; (ii) setzt Schwachstellen-Scanning-Tools und -Techniken ein, die die Interoperabilität zwischen Tools erleichtern und Teile des Schwachstellenmanagementprozesses durch die Verwendung von Standards für die Aufzählung von Plattformen, Softwarefehlern und unsachgemäßen Konfigurationen, die Formatierung von Checklisten und Testverfahren sowie die Messung der Schwachstellenwirkung automatisieren; (iii) analysiert Schwachstellen-Scan-Berichte und Ergebnisse von Sicherheitskontrollbewertungen; (iv) behebt Schwachstellen gemäß der organisatorischen Risikobewertung; (v) teilt Informationen aus dem Schwachstellen-Scanning und den Sicherheitskontrollbewertungen mit dem entsprechenden Personal, um ähnliche Schwachstellen in anderen Informationssystemen zu beseitigen; und (vi) setzt periodisches externes Schwachstellen-Scanning und jährliche Penetrationstests ein, um die allgemeine Stärke der Abwehrmaßnahmen von Riskonnect (Technologie, Prozesse und Mitarbeiter) zu bewerten. Auf schriftliche Anfrage des Kunden liefert Riskonnect dem Kunden eine Zusammenfassung der Ergebnisse der jüngsten externen Penetrationstests und Anwendungssicherheitsbewertungen.
    15. SYSTEMENTWICKLUNGSLEBENSZYKLUS
      1. Riskonnect verwaltet Informationssysteme unter Verwendung eines branchenüblichen System Development Life Cycle („SDLC“), der Informationssicherheitsaspekte berücksichtigt, Informationssicherheitsrollen und -verantwortlichkeiten während des gesamten SDLC definiert und dokumentiert, Personen identifiziert, die solche Rollen oder Verantwortlichkeiten innehaben, und den Informationssicherheits-Risikomanagementprozess von Riskonnect in die SDLC-Aktivitäten integriert.
    16. RISIKOMANAGEMENT DER LIEFERKETTE
      1. Riskonnect (i) schützt vor Lieferkettenbedrohungen für die Informationssysteme, Komponenten oder Dienste durch den Einsatz von Sicherheitsvorkehrungen als Teil einer umfassenden Informationssicherheitsstrategie, einschließlich der Verwendung sicherer Beschaffungsstrategien, Verträge, Tools und Beschaffungsmethoden für den Kauf von Informationssystemen, Komponenten und Diensten von Lieferanten; (ii) führt Lieferantenüberprüfungen durch, bevor eine vertragliche Vereinbarung zum Erwerb von Informationssystemen, Komponenten oder Diensten getroffen wird; (iii) unterhält Sicherheitsvorkehrungen, um Schäden durch potenzielle Angreifer, die auf die organisatorische Lieferkette abzielen, zu begrenzen; und (iv) führt Bewertungen der Informationssysteme, Komponenten oder Dienste vor der Auswahl, Annahme oder Aktualisierung im Rahmen des Engagements durch.
    17. SYSTEM- UND KOMMUNIKATIONSSCHUTZ
      1. Grenzschutz. Riskonnect (i) überwacht und kontrolliert die Kommunikation an den externen Grenzen und an wichtigen internen Grenzen des Organisationssystems; (ii) implementiert Subnetzwerke für öffentlich zugängliche Systemkomponenten, die physisch oder logisch von internen Netzwerken getrennt sind; (iii) begrenzt die Anzahl externer Netzwerkverbindungen; und (iv) wendet eine „Deny by Default, Permit by Exception“-Richtlinie für den Netzwerkkommunikationsverkehr sowohl für eingehende als auch für ausgehende Kommunikationen an. Der Riskonnect-Dienst verbindet sich nur über verwaltete Schnittstellen mit externen Netzwerken oder Informationssystemen. Riskonnect verwaltet die laufende betriebliche Nutzung von Ports, Protokollen und Diensten auf vernetzten Geräten, um die Angriffsflächen für Angreifer zu minimieren.
      2. Vertraulichkeit und Integrität der Übertragung. Informationssysteme schützen die Vertraulichkeit und Integrität übertragener Informationen sowohl durch physische als auch durch logische Mittel, einschließlich der Anwendung geschützter Verteilungsverfahren und der Begrenzung des Zugriffs auf Peripheriegeräte (z. B. Server, Computer, Drucker, Scanner, Faxgeräte) sowie durch den Einsatz von Verschlüsselung.
    18. SYSTEM- UND INFORMATIONSSYSTEMINTEGRITÄT
      1. Fehlerbehebung. Riskonnect: (i) identifiziert, meldet und korrigiert Fehler in Informationssystemen; (ii) testet Software- und Firmware-Updates auf Wirksamkeit und potenzielle Nebenwirkungen vor der Installation; und (iii) installiert sicherheitsrelevante Software- und Firmware-Updates, einschließlich Patches, Service Packs, Hotfixes und Antiviren-Signaturen, sobald diese verfügbar sind. Riskonnect verwaltet den Fehlerbehebungsprozess zentral, misst die Zeit zwischen Fehleridentifizierung und Fehlerbehebung und etabliert einen Prozess für Korrekturmaßnahmen.
      2. Schutz vor bösartigem Code. Riskonnect: (i) setzt Mechanismen zum Schutz vor bösartigem Code an den Ein- und Ausgangspunkten von Informationssystemen (einschließlich Webbrowser und E-Mail) ein, um bösartigen Code zu erkennen und zu beseitigen; (ii) aktualisiert Mechanismen zum Schutz vor bösartigem Code, sobald neue Versionen verfügbar sind, und pflegt die organisatorische Konfigurationsmanagementrichtlinie und -verfahren für die Verwaltung solcher Updates; (iii) konfiguriert Mechanismen zum Schutz vor bösartigem Code so, dass sie periodische Scans der Informationssysteme durchführen; (iv) blockiert, quarantäniert oder beides bösartigen Code und unterhält Systeme, die Warnungen an Systemadministratoren senden, wenn bösartiger Code erkannt wird; und (v) befasst sich mit dem Empfang von Fehlalarmen während der Erkennung und Beseitigung von bösartigem Code sowie allen daraus resultierenden potenziellen Auswirkungen auf die Verfügbarkeit der Informationssysteme.
      3. Informationssystemüberwachung. Riskonnect: (i) überwacht die Informationssysteme, um Angriffe und Indikatoren potenzieller Angriffe sowie unbefugte lokale, Netzwerk- und Fernverbindungen zu erkennen und unbefugte Nutzung des Informationssystems zu identifizieren; (ii) setzt Überwachungsgeräte strategisch innerhalb des Informationssystems und an Ad-hoc-Standorten innerhalb des Systems ein; (iii) schützt Informationen, die von Intrusion-Monitoring-Tools gewonnen wurden, vor unbefugtem Zugriff, Änderung und Löschung; (iv) verstärkt die Überwachungsaktivitäten, wenn ein erhöhtes Risiko für organisatorische Operationen, Vermögenswerte, Einzelpersonen, andere Organisationen oder die Nation angezeigt ist; (v) holt eine rechtliche Stellungnahme zu Informationssystem-Überwachungsaktivitäten gemäß den anwendbaren Gesetzen, Executive Orders, Richtlinien oder Vorschriften ein; und (vi) stellt dem entsprechenden Personal bei Bedarf Informationen zur Informationssystemüberwachung zur Verfügung.