Unser Sicherheitskonzept

Die Basis unserer ISO 27001-Zertifizierung nach IT-Grundschutz vom Bundesamt für Sicherheit in der Informationstechnik bildet eine Vielzahl klarer und gelebter Vorgaben und Prozesse.

Die Zertifizierung nach BSI ISO 27001 betrachtet den Verbund des Rechenzentrums in Hannover und dessen Management. Hier sind alle Systeme und Prozesse enthalten, die zum Betrieb der Rechenzentrums-Infrastruktur, der Kundenverwaltung sowie der Leistungserbringung für die Colocation notwendig sind.

Die Anwendung von ISO 27001 auf der Basis des IT-Grundschutzes vom Bundesamt für Sicherheit in der Informationstechnik (BSI) umfasst die Maßnahmenziele und Maßnahmen aus Annex A von ISO 27001 und die damit verbundenen Ratschläge zur Umsetzung und Anleitung für allgemein anerkannte Verfahren aus ISO/IEC 27002.

Als Voraussetzung für die Zertifizierung hat kyberio verbunden mit dem Rechenzentrum und den damit einhergehenden Organisationsabläufen ein mehrstufiges Prüfverfahren durchlaufen. Dieses wird in einem regelmäßigen Zyklus wiederholt.

Im Wesentlichen umfasst die Prüfung die Bereiche:

• Die geschäftlichen Anforderungen des Unternehmens
• Technische Infrastruktur
• Die Verantwortung des Managements
• Organisatorische Abläufe
• Risikomanagement
• Datenschutz

Mit kyberio setzen unsere Kunden auch bezüglich der IT-Sicherheitsgesetzgebung auf ihre eigene Sicherheit. Die Anforderungen bezüglich Datenschutz und die damit verbundenen Haftungsrisiken haben sich seit Mai 2018 durch die Datenschutzgrundverordnung der EU weiter verschärft. Diese sieht bei Verstößen gegen Datenschutzrecht noch drastischere Strafen vor als das vorherige Bundesdatenschutzgesetz.

Tatsächlich ist es so, dass die Zertifizierung nicht nur eine rechtliche Absicherung darstellt, sondern verbunden mit einer Verbesserung der Sicherheit auch viele unternehmerische Vorteile bietet. Zusammengefasst sind das:

• Verbesserte Sicherheit der IT-Infrastruktur
• Verschärftes Sicherheitsbewusstsein vom Management bis zur Belegschaft
• Rechtliche Absicherung und Senkung des Haftungsrisikos
• Verbesserung der Wettbewerbsfähigkeit
• Kosteneinsparung durch Outsourcing sicherheitsrelevanter Dienstleistungen, die im Unternehmen nur mit hohem Aufwand abgebildet werden können
• Schaffung von Vertrauen bei Kunden und der Öffentlichkeit
• Möglichkeit der eigenen Zertifizierung von Applikationen auf Basis der vorhandenen Zertifizierung von kyberio

PCI-DSS Standard steht für „Payment Card Industry Data Security Standard”. Der PCI Standard entspricht einem Regelwerk, das die Sicherheitsanforderungen an den Zahlungsverkehr mit Kreditkarten abbildet. Dieser Standard ist für alle Firmen, Einrichtungen und Organisationen bindend, die Kreditkarteninhaber-Daten verarbeiten.

Unternehmen und Organisationen, die Kreditkarteninhaber-Daten (CHD – „Cardholder Data“) elektronisch auf einer Kreditkarteninhaber-Umgebung (CDE –„Cardholder Environment“) verarbeiten, müssen diese Umgebung entsprechend der PCI-Richtlinien vor Datenmissbrauch und unberechtigtem Zugriff absichern und deren fortlaufenden Betrieb schützen. Des Weiteren sieht der Standard eine eindeutige Verantwortlichkeitszuordnung für die unterschiedlichen Bereiche und Aufgaben innerhalb der CDE vor. Sämtliche Zugriffe und Arbeitsschritte müssen nachverfolgt werden können. Ein wichtiger Teil beim Betrieb einer solchen Umgebung sind die physikalische Sicherheit und die damit verbundenen Prozesse, um diese im Rechenzentrumsbetrieb zu gewährleisten.

Diese Anforderungen decken 12 Bereiche ab:

• Firewall-Konzept
• Sicherheitseinstellungen für Passwörter
• Schutz der Daten von Kreditkarteninhabern
• Verschlüsselung von Daten
• Virenschutz
• Pflege der Systeme und Anwendungen
• Einschränkungen von Zugriffen
• Benutzerbezogene Zugangskontrolle
• Beschränkung und Sicherheit vom physikalischen Zugang zum Server
• Protokollierung der Zugriffe auf Daten
• Regelmäßige Überprüfung der Systeme
• Einhaltung von Richtlinien der Informationssicherheit

Die Nachvollziehbarkeit von Zutritt und Zugang zur Umgebung wird durch professionelle Zutrittskontrollen und Abläufe, durch eine nahtlose Videoüberwachung rund um die Uhr und durch die Protokollierung und eindeutige Zuordnung der sich im Rechenzentrum befindenden Personen und dem Datenabgleich und dessen Plausibilitätsprüfung sichergestellt.

Als Colocation-Kunde in unserem Rechenzentrum profitierst du von einer bereits von einem qualifizierten Auditor („QSA“) nach PCI-zertifizierten Dienstleistung, die bis zum eigenen Rack reicht. Somit kannst du dich auf die Compliance deiner im Rack betriebenen Infrastruktur konzentrieren und die physikalische Sicherheit deines Racks (wesentliche Bestandteile der Anforderungen 9 und 12 des PCI-Anforderungskataloges sowie Anforderung 11.1 bzgl. drahtlose Zugangspunkte) durch unsere Zertifizierung attestieren. Diese Punkte fallen für dein eigenes Audit weg, da du deine Zertifizierung auf der zertifizierten PCI Compliance des Rechenzentrumbetreibers aufbaust.

E-Commerce-Anbieter, Content Provider, Einrichtungen und Organisationen unterschiedlicher Art, die im Netz per Kreditkarte Leistungen oder Produkte anbieten oder Spenden annehmen, haben somit die Möglichkeit, dies in einer PCI-zertifizierten Rechenzentrumsumgebung in einem eigenen, individuell verschließbaren 19“ Rack (mit 21 oder 42 Höheneinheiten) umzusetzen. Gern stellen wir dir zu diesem Zweck unsere Attestation of Compliance („AOC“) zur Verfügung.