Parsierbare Sicherheitsrichtlinie

Übersicht

Dieses Dokument beschreibt die Anforderungen von Parsable, Inc. (Parsable) an die Informationssicherheit für alle Mitarbeiter. Die Geschäftsführung von Parsable hat sich zu diesen Sicherheitsrichtlinien verpflichtet, um die Informationen zu schützen, die Parsable zur Erreichung seiner Geschäftsziele nutzt. Parsable hat diese Sicherheitsrichtlinien erstellt, um die Anforderungen für die sichere Nutzung der Unternehmensressourcen und den Betrieb unseres SaaS-Produktangebots zu vermitteln. Sie spiegeln die Strategie von Parsable wider, wie das Unternehmen die Grundsätze und Technologien der Informationssicherheit umsetzen wird.

Zweck

Der Zweck dieser Richtlinie besteht darin, ein Sicherheitskonzept zu schaffen, das darauf ausgelegt ist, die Vertraulichkeit, Integrität und Verfügbarkeit sowohl der Informationsressourcen von Parsable als auch der Kunden zu schützen – vor versehentlichem oder vorsätzlichem unbefugtem Zugriff, Änderung, Beschädigung oder Löschung –, um Parsable bei der Erreichung seiner Geschäftsziele zu unterstützen. Dieses Dokument definiert allgemeine Maßnahmen zum Schutz der Informationssicherheit innerhalb des Unternehmens, einschließlich Definitionen, Rollen, Verantwortlichkeiten, Verfahren sowie Leistungsindikatoren und Berichtsmechanismen. Standards und Verfahren im Zusammenhang mit dieser Richtlinie werden separat veröffentlicht und bei Bedarf aktualisiert.

Geltungsbereich

Diese Richtlinie gilt für alle Nutzer von Informationssystemen und Daten innerhalb der Organisation, darunter sowohl Mitarbeiter als auch externe Auftragnehmer sowie alle externen Parteien, die mit den von der Organisation kontrollierten Systemen und Informationen in Berührung kommen (im Folgenden als „Nutzer“ bezeichnet). Die Anforderungen gelten für die Unternehmens-IT-Systeme von Parsable sowie für SaaS-Produkte, sofern nicht ausdrücklich anders angegeben.

Begriffsbestimmungen

Die folgenden Definitionen gelten für diese Richtlinie und alle Unterrichtlinien.

Vertraulichkeit: Eine Eigenschaft von Informationen oder Informationssystemen, bei der diese Informationen oder Systeme nur autorisierten Stellen zugänglich sind.
Integrität: Eine Eigenschaft von Informationen oder Informationssystemen, bei der diese Informationen oder Systeme nur von autorisierten Stellen und in genehmigter Weise geändert werden dürfen.
Verfügbarkeit: Eine Eigenschaft von Informationen oder Informationssystemen, bei der autorisierte Stellen bei Bedarf jederzeit auf diese Informationen oder Systeme zugreifen können.
Informationssicherheit: Die Wahrung der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und Informationssystemen.
Standard: Erwartetes Nutzerverhalten bei der Interaktion mit Informationsressourcen, basierend auf der Sicherheitsstufung und den Anforderungen an den Umgang mit Informationen.
Verfahren: Technische Spezifikationen, Methodiken und konkrete Anweisungen für Daten (Format, Strukturierung, Kennzeichnung, Speicherung, Übertragung, Bearbeitung, Berichterstattung) sowie für die Nutzung von Daten.

Ziele

Die Ziele der Organisation im Bereich der Informationssicherheit stehen im Einklang mit den Geschäftszielen, der Strategie und den Plänen der Organisation. Mit dieser Sicherheitsrichtlinie sollen folgende Ziele erreicht werden:

Rollen

Beauftragter für Informationssicherheit

Diese Richtlinie schreibt die Ernennung eines Beauftragten für Informationssicherheit (CISO) vor, der das Informationssicherheitsprogramm leitet. Dieses umfasst Verfahren und Richtlinien, die darauf abzielen, das operative Risiko für das Unternehmen zu senken, indem die Unternehmenskommunikation, die Informationssysteme und die Vermögenswerte vor internen und externen Bedrohungen geschützt werden. Zu den allgemeinen Aufgaben des CISO gehören:

Die Position des CISO muss nicht unbedingt eigenständig sein, sondern kann auch von einem bestehenden Mitglied der Geschäftsleitung oder des operativen Managementteams wahrgenommen werden, sofern dieser Mitarbeiter über die Befugnisse für eine Führungsrolle sowie über die Ressourcen und Fähigkeiten verfügt, sich dieser Aufgabe zu widmen.

Datenschutzbeauftragter

Diese Richtlinie schreibt die Ernennung eines Datenschutzbeauftragten (Chief Privacy Officer, CPO) vor, der die Datenschutzstrategie von Parsable leitet und Ihr Unternehmen durch das komplexe Geflecht verschiedener Datenschutzvorschriften führt, die für Ihre Organisation relevant sind. Zu den allgemeinen Aufgaben des CPO gehören:

Der Datenschutzbeauftragte muss nicht unbedingt eine eigenständige Position sein, sondern kann auch von einem bestehenden Mitglied der Geschäftsleitung oder des operativen Managementteams wahrgenommen werden, sofern dieser Mitarbeiter über die Befugnis verfügt, eine Führungsrolle auszuüben, und über die Ressourcen und Fähigkeiten verfügt, sich dieser Aufgabe zu widmen.

InfoSec-Team

Diese Richtlinie sieht die Bildung eines InfoSec-Teams vor, das sich aus Mitarbeitern der IT-Abteilung zusammensetzt:

Dieses Team ist für die Durchsetzung der Compliance-Vorgaben, die Reaktion auf Vorfälle und die Genehmigung von Ausnahmen zuständig.

Lenkungsausschuss für Informationssicherheit und Datenschutz

Diese Richtlinie sieht die Bildung eines Teams für Informationssicherheit und Datenschutz vor, das verschiedene Unternehmensbereiche vertritt, die für den Schutz der Informationsressourcen von Parsable von entscheidender Bedeutung sind. Zu diesem Team gehören stets der CISO und der CPO sowie Vertreter der folgenden Abteilungen:

Diese Teammitglieder sollten von der Abteilung für eine Amtszeit von einem Jahr ernannt werden und können mehr als eine Amtszeit absolvieren. Im Falle des Ausscheidens eines Teammitglieds sollte die Abteilung ein anderes Teammitglied ernennen, um die Aufgabe zu übernehmen. Dieses Team sollte jährlich einen Leiter wählen, der nicht der CISO oder CPO ist, um den operativen Ablauf zu steuern, bis ein Vollzeitmitarbeiter für diese Aufgabe abgestellt wird. Dieses Team ist dafür verantwortlich, sich halbjährlich zu treffen, um aktuelle Risiken zu bewerten und wichtige Leistungskennzahlen zu überprüfen.

Verantwortlicher

Jedes Unternehmensinformationssystem unterliegt einem einzigen Verantwortlichen, der für das Budget und die Systemverwaltung zuständig ist. Dieser Verantwortliche kann die Verwaltung des Systems oder eines Teils davon an die IT-Abteilung delegieren, bleibt jedoch für die Umsetzung dieser und damit verbundener Richtlinien in Bezug auf die von ihm verwalteten Systeme, Daten und sonstigen Informationsressourcen verantwortlich.

Abteilungsdatenverwalter

Eine Abteilung kann einen oder mehrere Datenverwalter ernennen, die für die Anwendung dieser und damit zusammenhängender Richtlinien auf Systeme, Daten und andere Informationsressourcen verantwortlich sind, die ihrer Obhut oder Kontrolle unterstehen.

Systemadministratoren

Systemadministratoren sind dafür verantwortlich, diese und damit zusammenhängende Richtlinien auf die Systeme, Informationen und sonstigen Informationsressourcen in ihrem Zuständigkeitsbereich unter Anleitung der Datenverantwortlichen anzuwenden.

Unterrichtlinien

Parsable verwaltet separate Unterrichtlinien in separaten Unterdokumenten für die jeweiligen Sicherheitsthemen:

Durchsetzung

Diese Richtlinien werden vom Informationssicherheitsteam und/oder der Geschäftsleitung durchgesetzt. Verstöße können zu Disziplinarmaßnahmen führen, darunter Suspendierung, Zugangsbeschränkung oder schwerwiegendere Sanktionen bis hin zur Kündigung des Arbeitsverhältnisses. Bei Verdacht auf illegale Aktivitäten oder Diebstahl von Unternehmenseigentum (materieller oder geistiger Art) kann Parsable solche Vorfälle den zuständigen Behörden melden. Drittanbieter, bei denen ein Verstoß gegen diese Richtlinie festgestellt wird, müssen neben der Vertragskündigung mit finanziellen Haftungsansprüchen rechnen. Ausnahmen von dieser Richtlinie sind nur zulässig, wenn sie vorab schriftlich vom CISO genehmigt wurden.