Security-/TOM-Anlage
Vertragliche Darstellung der für den vereinbarten Umfang geltenden technischen und organisatorischen Maßnahmen.
Diese Anlage gilt nur, soweit ein freigegebenes Vertragsdokument sie unter Angabe von Dokument-ID, Version und anwendbarem Serviceumfang ausdrücklich einbezieht.
CUTO verantwortet die in dieser Anlage dem Service zugeordneten Maßnahmen. Der Kunde verantwortet seine Nutzer, Rollen, Endgeräte, Eingaben, Konfigurationen und sonstigen Handlungen, soweit sie seiner Kontrolle unterliegen.
CUTO weist Sicherheitsaufgaben, Entscheidungsbefugnisse, Eskalationswege und Nachweisverantwortung für den abgedeckten Serviceumfang zu und hält die maßgeblichen Vorgaben unter Versionskontrolle.
Personen mit autorisiertem Zugriff sind an angemessene Vertraulichkeitspflichten gebunden und erhalten aufgabenbezogene Sicherheitsvorgaben.
Zugriffe folgen definierten Rollen sowie Organisations- oder Projektgrenzen und werden auf den für die jeweilige Aufgabe erforderlichen Umfang begrenzt.
CUTO ordnet die Vergabe, Änderung, Überprüfung und Entziehung von Zugriffsrechten den dafür autorisierten Rollen und dokumentierten Auslösern zu.
Single Sign-on bindet CUTO an die zentrale Identitätsverwaltung des Unternehmens an. Die unterstützte Verbindung richtet sich nach dem vereinbarten Einsatzumfang.
CUTO schützt Daten bei der Übertragung und im Ruhezustand nach dem für den jeweiligen Datenpfad festgelegten Umfang. Ausnahmen und Übergänge werden kontrolliert dokumentiert.
Für kryptografische Schlüssel werden Zuständigkeit, zulässiger Zugriff, Lebenszyklus, Schutz und Austausch für den jeweiligen Einsatzumfang festgelegt.
CUTO erfasst für den freigegebenen Ereignisumfang sicherheitsrelevante Aktivitäten mit Akteur, Zeitpunkt, Aktion und Ergebnis und schützt Zugriff und Integrität dieser Aufzeichnungen.
Technische Signale und relevante Aufzeichnungen fließen in die Erkennung, Bewertung und Bearbeitung sicherheitsrelevanter Ereignisse ein.
Sicherheitsanforderungen werden in Planung, Entwicklung, Prüfung, Freigabe und Pflege des abgedeckten Serviceumfangs berücksichtigt.
Änderungen am abgedeckten Serviceumfang werden nach definierten Verantwortlichkeiten bewertet, geprüft, freigegeben, nachvollziehbar ausgerollt und bei Bedarf zurückgenommen.
CUTO erfasst, bewertet, priorisiert und behandelt bekannte Schwachstellen des abgedeckten Serviceumfangs risikobasiert und dokumentiert die maßgeblichen Entscheidungen.
CUTO sichert Daten nach für den abgedeckten Serviceumfang dokumentierten Verfahren und schützt Sicherungen entsprechend ihrem Datenpfad und Lebenszyklus.
CUTO arbeitet mit dokumentierten Wiederherstellungszielen für den jeweiligen Serviceumfang. Verbindliche Werte bestehen nur, soweit sie in den anwendbaren und freigegebenen Leistungsunterlagen enthalten sind.
Wiederherstellungs- und Kontinuitätsverfahren werden für den freigegebenen Umfang geplant, ausgeübt und mit Ergebnissen sowie Folgemaßnahmen dokumentiert.
CUTO erkennt, bewertet, priorisiert, begrenzt und bearbeitet sicherheitsrelevante Ereignisse über definierte Rollen, Eskalationswege und Kommunikationsprozesse.
Kundenkommunikation zu Sicherheitsereignissen folgt der freigegebenen Incident-Routing-Matrix. Für Verletzungen des Schutzes Kundenpersonenbezogener Daten gilt zusätzlich die ausdrücklich einbezogene AVV/DPA-Regelung.
Sicherheitsrelevante Dienstleister werden nach dem für ihren Einsatz festgelegten Risiko, Vertragsumfang, Datenzugriff und Nachweisbedarf ausgewählt und gesteuert.
Physische Schutzmaßnahmen werden für die jeweils genutzten Betriebs- und Anbieterumgebungen risikobasiert festgelegt und über freigegebene Nachweise oder Vertragskontrollen bewertet.
Aufbewahrung, Export, Rückgabe, Löschung, Ablauf von Sicherungskopien und gesetzliche Ausnahmen richten sich nach dem freigegebenen Datenlebenszyklusplan für das jeweilige Datenobjekt.
CUTO führt kontrollierte Nachweise für den abgedeckten Maßnahmenumfang. Wesentliche Änderungen werden bewertet, versioniert und nach dem anwendbaren Vertrags- und Dokumentprozess kommuniziert.