Folgende Maßnahmen werden sowohl seitens INH GmbH (nachfolgend INH), als auch seitens des RZ Betreibers telenetwork AG, zum Schutz vertraulicher und persönlicher Daten des Auftraggebers und dessen Kunden getroffen und regelmäßig evaluiert:
1. Zugangskontrolle (Entrance / system access control)
Maßnahmen der telenetwork AG am RZ Standort Trier
INH setzt ausschließlich Server-Systeme von Rechenzentrumsbetreibern ein, die gültige Zertifizierungen besitzen und somit alle technischen und organisatorischen Maßnahmen gemäß DSGVO umsetzen. Die telenetwork AG setzt auf umfangreiche, nach verschiedenen Standards zertifizierte Maßnahmen zur Verwehrung des Zugangs zu Verarbeitungsanlagen für Unbefugte. Hierzu zählen unter anderem:
A) ZUTRITTSKONTROLLSYSTEM
Elektronische Zutrittskontrolle bei Betreten des Rechenzentrums als auch in den jeweiligen Sicherheitsbereich.
B) ABSICHERUNG DER ZUTRITTSKONTROLLSYSTEME
Zutrittskontrollsysteme sowie die Alarmanlagen sind über USV und Netzersatzanlage gegen Stromausfall gesichert. lm Falle einer Funktionsstörung kann der Zutritt zum Rechenzentrum über ein Sicherheitsschließsystem manuell erfolgen. Dies ist ausschließlich durch telenetwork-Mitarbeiter möglich.
C) EINRICHTUNG VON SICHERHEITSZONEN
Der Zutritt zu den INH-Systemen ist ausschließlich durch den von INH definierten Personenkreis (Geschäftsführung) und durch einen bei telenetwork eingeschränkten Personenkreis möglich.
D) SCHLÜSSELVERGABE
An begrenzten Personenkreis, ausschließlich an autorisierte Personen (Whitelist), bei Übergabe Identitätskontrolle mittels amtlicher Dokumente mit Lichtbild (z.B. Personalausweis), Dokumentation der Schlüsselübergabe.
E) SCHLÜSSELKONZEPT
Elektronisch: Zutritt ist durch ein materielles (RFID-Chip) und ein biometrisches (Fingerabdruck) ldentifikationsmerkmal gesichert. Physikalisch: Die INH Server-Schränke verfügen über eine eigene digitale Schließung.
F) BESUCHERREGELUNG
Besucher dürfen sich im Rechenzentrum ohne Begleitung von autorisiertem Personal oder telenetwork-Mitarbeitern nicht aufhalten.
G) ZUTRITTSERFASSUNG
Jede Nutzung eines ID-Tag (RFID-Chip) oder biometrische Anforderung wird elektronisch erfasst und mit Zeitdaten protokolliert.
H) EINBRUCHMELDEANLAGE
Meldungen der Einbruchmeldeanlage (Einbruch, Störung etc.) werden auf unabhängigen Wegen an telenetwork und den Bereitschaftsdienst übertragen, welche entsprechende Maßnahmen einleiten.
I) VIDEOÜBERWACHUNG
Die Außenhaut des Rechenzentrums und der Zutritt zu Sicherheitsbereichen im Rechenzentrum ist mit Videotechnik überwacht.
J) CLOSED-SHOP-BETRIEB
Das Gelände des Rechenzentrums dient nur dem Zweck der Datenverarbeitung, es besteht kein Publikumsverkehr.
2. Zugriffs-, Übertragungs- und Transportkontrolle (Data access / transmission / transport control)
Maßnahmen der telenetwork AG am RZ Standort Trier
telenetwork sorgt dafür, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Maßnahmen der INH GmbH am RZ Standort Trier
- Konfiguration der Applikations-Server mit Docker-Containern mit minimaler Dienste-Ausstattung und automatischen Releases in kurzen Abständen
- Einsatz von Firewalls mit u.a. GEO-Locking-Konzept zum Whitelisting von IP Bereichen
- Patch- und Sicherheitskonzept zum regelmäßigen Aktualisieren der Systeme und patchen bekanntwerdender Sicherheitslücken
- Server-Administration nur für eingeschränkten Personenkreis per Public Key Authentifizierung
- Login / Passwortschutz durch state-of-the-art Hash-Verfahren und verschlüsselter https- Übertragung
- Speicherung von sensiblen Kundendaten mit starken kryptographischen Verfahren mit von Code & Datenbank getrennter Schlüsselverwahrung
3. Zuverlässigkeit, Verfügbarkeit & Integrität der eingesetzten IT Systeme (Reliability, Integrity, Availability)
Maßnahmen der telenetwork AG am RZ Standort Trier
A) USV (UNTERBRECHUNGSFREIE STROMVERSORGUNG)
A) USV (UNTERBRECHUNGSFREIE STROMVERSORGUNG)
B) NOTSTROMAGGREGATE
Notstromaggregate sichern längere Stromunterbrechungen ab. Eine Nachbetankung während des Betriebes ist im Bedarfsfall möglich. Notstromaggregate werden nach Herstellervorgaben gewartet.
C) BRANDSCHUTZ
Rechenzentrum ist in mehrere separate Brandabschnitte unterteilt. Zentrale Gaslöschanlage und zusätzlich Handfeuerlöscher zur punktuellen Brandbekämpfung.
D) BRANDMELDER
Brandmeldeanlage, welche die Gaslöschanlage auslöst und die Alarmierung Not- und Bereitschaftsdienstes des Bereitschaftshabenden der telenetwork AG anstößt.
E) KLIMATISIERUNG
Das Rechenzentrum ist mit einer redundanten Raumklimatisierung ausgestattet.
F) OBJEKTSICHERUNG INSBESONDERE DER SERVERRÄUME
Kundenschränke oder -flächen im Rechenzentrum sind physikalisch durch verschlossene Schränke bzw. Absperrungen der Flächen separat gesichert. Schlüsselkonzept, Videoüberwachung, Wachdienst usw. sind gem. Beschreibung unter „Zutrittskontrolle“ vorhanden. Maßnahmen der INH GmbH am RZ Standort Trier
- Mehrfach redundante hardware- und softwareseitige Auslegung der Applikations- und Datenbankserver
- Automatisiertes Monitoring der Serversysteme und Dienste mit automatischer Benachrichtigung und Eskalation von Problemfällen
- Spiegelung der Daten auf mindestens drei getrennten Serversystemen
- Regelmäßige Backup Rotation
- Automatisierte Softwaretests zur Sicherstellung der Plattform Funktionalität
4. Auftragskontrolle (Data processor control)
Maßnahmen der telenetwork AG am RZ Standort Trier
Die telenetwork AG handelt ausschließlich im Rahmen und Umfang des Auftrags durch die INFINKON Health AG entsprechend den festgelegten Weisungen.
A) KONTROLLMASSNAHMEN
Kontrollmaßnahmen werden in Abstimmung zwischen INFINKON und telenetwork definiert und technisch und organisatorisch in die Betriebsabläufe der telenetwork AG eingebunden.
B) VERPFLICHTUNG AUF VERTRAULICHKEIT GEM. ART. 28 ABS. 3 LIT. B DSGVO UND § 88 TKG
Alle telenetwork Mitarbeiter sind auf Datenschutz / Vertraulichkeit, Fernmeldegeheimnis und zur Verschwiegenheit verpflichtet.
C) DATENSCHUTZANWEISUNGEN
Ein Datenschutzbeauftragter ist durch die telenetwork AG bestellt.
D) DATENSCHUTZUNTERWEISUNGEN
telenetwork Mitarbeiter werden regelmäßig zu Themen des Datenschutzes unterwiesen. Maßnahmen der INH GmbH
- Auftragsverarbeitungs-Management, Dokumentation des Auftrags und der Verarbeitung
- Geeignete Auswahl und Vorabprüfung der Dienstleister
- Fortlaufende Überwachung der Dienstleister
5. Organisationskontrolle
Maßnahmen der INH GmbH
- Verpflichtung der Mitarbeiter auf das Datengeheimnis (nach Art. 90 DSGVO, § 53 BDSG-neu)
- Durchführung von Veranstaltungen und Fortbildungen zum Thema Datensicherheit
- Erarbeitung und regelmäßige Revision der Sicherheitsleitlinien/Verhaltensregeln
- Regelmäßige Evaluation und Kontrolle der festgelegten Prozesse und Maßnahmen
