IT-Sicherheitskonzept der INH GmbH

Folgende Maßnahmen werden sowohl seitens INH GmbH (nachfolgend INH), als auch seitens des RZ Betreibers telenetwork AG, zum Schutz vertraulicher und persönlicher Daten des Auftraggebers und dessen Kunden getroffen und regelmäßig evaluiert:

1. Zugangskontrolle (Entrance / system access control)

Maßnahmen der telenetwork AG am RZ Standort Trier

INH setzt ausschließlich Server-Systeme von Rechenzentrumsbetreibern ein, die gültige Zertifizierungen besitzen und somit alle technischen und organisatorischen Maßnahmen gemäß DSGVO umsetzen. Die telenetwork AG setzt auf umfangreiche, nach verschiedenen Standards zertifizierte Maßnahmen zur Verwehrung des Zugangs zu Verarbeitungsanlagen für Unbefugte. Hierzu zählen unter anderem:

A) ZUTRITTSKONTROLLSYSTEM

Elektronische Zutrittskontrolle bei Betreten des Rechenzentrums als auch in den jeweiligen Sicherheitsbereich.

B) ABSICHERUNG DER ZUTRITTSKONTROLLSYSTEME

Zutrittskontrollsysteme sowie die Alarmanlagen sind über USV und Netzersatzanlage gegen Stromausfall gesichert. lm Falle einer Funktionsstörung kann der Zutritt zum Rechenzentrum über ein Sicherheitsschließsystem manuell erfolgen. Dies ist ausschließlich durch telenetwork-Mitarbeiter möglich.

C) EINRICHTUNG VON SICHERHEITSZONEN

Der Zutritt zu den INH-Systemen ist ausschließlich durch den von INH definierten Personenkreis (Geschäftsführung) und durch einen bei telenetwork eingeschränkten Personenkreis möglich.

D) SCHLÜSSELVERGABE

An begrenzten Personenkreis, ausschließlich an autorisierte Personen (Whitelist), bei Übergabe Identitätskontrolle mittels amtlicher Dokumente mit Lichtbild (z.B. Personalausweis), Dokumentation der Schlüsselübergabe.

E) SCHLÜSSELKONZEPT

Elektronisch: Zutritt ist durch ein materielles (RFID-Chip) und ein biometrisches (Fingerabdruck) ldentifikationsmerkmal gesichert. Physikalisch: Die INH Server-Schränke verfügen über eine eigene digitale Schließung.

F) BESUCHERREGELUNG

Besucher dürfen sich im Rechenzentrum ohne Begleitung von autorisiertem Personal oder telenetwork-Mitarbeitern nicht aufhalten.

G) ZUTRITTSERFASSUNG

Jede Nutzung eines ID-Tag (RFID-Chip) oder biometrische Anforderung wird elektronisch erfasst und mit Zeitdaten protokolliert.

H) EINBRUCHMELDEANLAGE

Meldungen der Einbruchmeldeanlage (Einbruch, Störung etc.) werden auf unabhängigen Wegen an telenetwork und den Bereitschaftsdienst übertragen, welche entsprechende Maßnahmen einleiten.

I) VIDEOÜBERWACHUNG

Die Außenhaut des Rechenzentrums und der Zutritt zu Sicherheitsbereichen im Rechenzentrum ist mit Videotechnik überwacht.

J) CLOSED-SHOP-BETRIEB

Das Gelände des Rechenzentrums dient nur dem Zweck der Datenverarbeitung, es besteht kein Publikumsverkehr.

2. Zugriffs-, Übertragungs- und Transportkontrolle (Data access / transmission / transport control)

Maßnahmen der telenetwork AG am RZ Standort Trier

telenetwork sorgt dafür, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.

Maßnahmen der INH GmbH am RZ Standort Trier

Konfiguration der Applikations-Server mit Docker-Containern mit minimaler Dienste-Ausstattung und automatischen Releases in kurzen Abständen
Einsatz von Firewalls mit u.a. GEO-Locking-Konzept zum Whitelisting von IP Bereichen
Patch- und Sicherheitskonzept zum regelmäßigen Aktualisieren der Systeme und patchen bekanntwerdender Sicherheitslücken
Server-Administration nur für eingeschränkten Personenkreis per Public Key Authentifizierung
Login / Passwortschutz durch state-of-the-art Hash-Verfahren und verschlüsselter https- Übertragung
Speicherung von sensiblen Kundendaten mit starken kryptographischen Verfahren mit von Code & Datenbank getrennter Schlüsselverwahrung

3. Zuverlässigkeit, Verfügbarkeit & Integrität der eingesetzten IT Systeme (Reliability, Integrity, Availability)

Maßnahmen der telenetwork AG am RZ Standort Trier

A) USV (UNTERBRECHUNGSFREIE STROMVERSORGUNG)

B) NOTSTROMAGGREGATE

Notstromaggregate sichern längere Stromunterbrechungen ab. Eine Nachbetankung während des Betriebes ist im Bedarfsfall möglich. Notstromaggregate werden nach Herstellervorgaben gewartet.

C) BRANDSCHUTZ

Rechenzentrum ist in mehrere separate Brandabschnitte unterteilt. Zentrale Gaslöschanlage und zusätzlich Handfeuerlöscher zur punktuellen Brandbekämpfung.

D) BRANDMELDER

Brandmeldeanlage, welche die Gaslöschanlage auslöst und die Alarmierung Not- und Bereitschaftsdienstes des Bereitschaftshabenden der telenetwork AG anstößt.

E) KLIMATISIERUNG

Das Rechenzentrum ist mit einer redundanten Raumklimatisierung ausgestattet.

F) OBJEKTSICHERUNG INSBESONDERE DER SERVERRÄUME

Kundenschränke oder -flächen im Rechenzentrum sind physikalisch durch verschlossene Schränke bzw. Absperrungen der Flächen separat gesichert. Schlüsselkonzept, Videoüberwachung, Wachdienst usw. sind gem. Beschreibung unter „Zutrittskontrolle“ vorhanden.

Maßnahmen der INH GmbH am RZ Standort Trier

Mehrfach redundante hardware- und softwareseitige Auslegung der Applikations- und Datenbankserver
Automatisiertes Monitoring der Serversysteme und Dienste mit automatischer Benachrichtigung und Eskalation von Problemfällen
Spiegelung der Daten auf mindestens drei getrennten Serversystemen
Regelmäßige Backup Rotation
Automatisierte Softwaretests zur Sicherstellung der Plattform Funktionalität

4. Auftragskontrolle (Data processor control)

Maßnahmen der telenetwork AG am RZ Standort Trier

Die telenetwork AG handelt ausschließlich im Rahmen und Umfang des Auftrags durch die INFINKON Health AG entsprechend den festgelegten Weisungen.

A) KONTROLLMASSNAHMEN

Kontrollmaßnahmen werden in Abstimmung zwischen INFINKON und telenetwork definiert und technisch und organisatorisch in die Betriebsabläufe der telenetwork AG eingebunden.

B) VERPFLICHTUNG AUF VERTRAULICHKEIT GEM. ART. 28 ABS. 3 LIT. B DSGVO UND § 88 TKG

Alle telenetwork Mitarbeiter sind auf Datenschutz / Vertraulichkeit, Fernmeldegeheimnis und zur Verschwiegenheit verpflichtet.

C) DATENSCHUTZANWEISUNGEN

Ein Datenschutzbeauftragter ist durch die telenetwork AG bestellt.

D) DATENSCHUTZUNTERWEISUNGEN

telenetwork Mitarbeiter werden regelmäßig zu Themen des Datenschutzes unterwiesen.

Maßnahmen der INH GmbH

Auftragsverarbeitungs-Management, Dokumentation des Auftrags und der Verarbeitung
Geeignete Auswahl und Vorabprüfung der Dienstleister
Fortlaufende Überwachung der Dienstleister

5. Organisationskontrolle

Maßnahmen der INH GmbH

Verpflichtung der Mitarbeiter auf das Datengeheimnis (nach Art. 90 DSGVO, § 53 BDSG-neu)
Durchführung von Veranstaltungen und Fortbildungen zum Thema Datensicherheit
Erarbeitung und regelmäßige Revision der Sicherheitsleitlinien/Verhaltensregeln
Regelmäßige Evaluation und Kontrolle der festgelegten Prozesse und Maßnahmen