Zertifizierungen und ihr Geltungsbereich
UP2DATE veröffentlicht Zertifizierungen nach ISO 9001:2015 und ISO/IEC 27001:2022 (SR ISO/CEI 27001:2023), ausgestellt von Management Certification. Das Zertifikat für Informationssicherheit trägt die Serienkennung SI-MC Nr. 1214 und wurde erstmals 2023 ausgestellt.
Die angegebenen Geltungsbereiche umfassen Softwareentwicklung, Softwareprodukte, IT-Beratung, Datenverarbeitung und die Verwaltung von Webseiten. Bei der Lieferantenbewertung werden Unterlagen, Gültigkeit und der für die Zusammenarbeit relevante Geltungsbereich bestätigt. Die Zertifizierung der Organisation zertifiziert nicht automatisch jede Anwendung oder deren Nutzung.
Zugriff auf Code, Umgebungen und Daten
Die Projektübersicht erfasst die Inhaber der Konten und die erforderlichen Zugriffe für jede Rolle. Wir legen fest, wer Zugriffe genehmigt, wie Zugangsdaten verwaltet werden und wie Zugriffe bei Teamwechseln oder der Übergabe entzogen werden.
Wir grenzen die Verantwortlichkeiten des Kunden, von UP2DATE und der Anbieter für Repository, Cloud, App-Stores und integrierte Systeme ab.
Welche Daten werden verwendet und wohin fließen sie?
- Wir bestimmen Quelle, Ziel, berechtigte Rollen und Zweck jedes Datenflusses.
- Wir vereinbaren Testdatensätze und die erforderlichen Maßnahmen zur Anonymisierung oder Datenminimierung.
- Wir klären Hosting, Aufbewahrung, Export und Löschung in den Projektanforderungen.
- Bei KI beziehen wir den Modellanbieter, zugängliche Dokumente, Nutzerrechte und die Kontrolle von Aktionen ein.
Wie überprüfen wir die Kontrollen?
Die Abnahmekriterien umfassen Zugriffsszenarien, die Trennung zwischen Nutzern oder Organisationen und relevante Fehlerfälle. Sicherheitstests, Konfigurationsprüfungen und unabhängige Bewertungen werden im Projektumfang abgegrenzt.
Bei einem Produkt für einen regulierten Bereich bestimmen der Kunde und die benannten Fachleute die geltenden Anforderungen. Die Implementierung einer Softwarefunktion ersetzt keine Konformitätsbewertung des gesamten Produkts.
Vorfälle, Backups und Wiederherstellung
Die Supportvereinbarung legt fest, was wir überwachen, welche Servicezeiten gelten, wie Vorfälle eingestuft werden und welche Eskalationswege und Reaktionszeiten vereinbart sind. Die Behebungsdauer hängt von der Diagnose und den Abhängigkeiten ab.
Für die Betriebskontinuität definieren wir die Verantwortung für Backups, die Prüfung der Wiederherstellung und die Schritte zur Rückkehr in den Betrieb. Die Zielwerte werden je nach System festgelegt; 24/7-Support ist nicht automatisch in jedem Projekt enthalten.
Was klären wir bei der Lieferantenbewertung?
Besprechen Sie Ihre Anforderungen mit uns, bevor Sie sensible Daten übermitteln. Die konkreten Unterlagen und der Detaillierungsgrad werden im Rahmen der Prüfung einer Zusammenarbeit vereinbart.
- Den Geltungsbereich und die relevanten Zertifizierungsunterlagen.
- Die Verantwortlichkeiten für Daten, Zugriffe und Anbieter.
- Die enthaltenen Prüfungen, Liefergegenstände und Ausschlüsse.
- Die Ansprechpartner für Sicherheit, Vorfälle und Übergabe.