Hintergrund
ProfilGruppen wird ihre Informationssicherheitsarbeit systematisch, formalisiert und risikobasiert gestalten. Die Arbeit orientiert sich an der aktuellen Version des internationalen Standards für Managementsysteme für Informationssicherheit, ISO/IEC 27001.
Informationssicherheit = die richtige Information zur richtigen Zeit der richtigen Person auf nachvollziehbare Weise zur Verfügung stellen und sicherstellen, dass die Information korrekt ist und bleibt.
Zweck
Das Ziel der Informationssicherheitsarbeit ist es, einen ausgewogenen Schutz für die Informationswerte von ProfilGruppen zu gewährleisten. Dies bedeutet, dass:
- Daten, soweit möglich, als Kerndaten gespeichert werden sollen. Gespeicherte Daten müssen korrekt benannt sein.
- Die richtigen Informationen sollen der richtigen Person zur richtigen Zeit zur Verfügung stehen.
- Jeder Zugriff muss nachvollziehbar sein.
- Das Vertrauen von Partnern und Interessengruppen soll aufrechterhalten werden.
Richtlinie
Die Informationssicherheitsarbeit und ihre Dokumentation umfassen alle Informationswerte von ProfilGruppen, unabhängig von ihrer Form und davon, ob sie manuell oder automatisiert verarbeitet werden. Die Richtlinie gilt für alle Mitarbeiter und Berater.
Alle Informationswerte und zugehörigen IT-Systeme müssen nach Sensibilitätsgrad klassifiziert werden. Die Arbeit basiert auf regelmäßigen Risikoanalysen für:
- Vertraulichkeit: Unbefugten Zugriff verhindern.
- Integrität: Korrekte, aktuelle und vollständige Informationen sicherstellen.
- Verfügbarkeit: Zugriff bei Bedarf garantieren.
- Nachvollziehbarkeit: Ursprung und Transaktionen sicherstellen.
Für jeden Informationsbereich sind organisatorische, administrative und technische Schutzmaßnahmen zu dokumentieren und zu kontrollieren.
Der Informationssicherheitsschutz wird regelmäßig überprüft, um die Einhaltung von Gesetzen, Vorschriften und Vereinbarungen sicherzustellen. Abweichungen, Risiken und Vorfälle werden als Teil der kontinuierlichen Verbesserungsarbeit dokumentiert und nachverfolgt. Die Ergebnisse werden jährlich im Rahmen der Managementbewertung vorgelegt.
Eine unabhängige Prüfung wird jährlich durchgeführt, um die Einhaltung und Wirksamkeit zu kontrollieren.
Das Rahmenwerk besteht aus dieser Richtlinie sowie 4 zugrunde liegenden Dokumenten, die die Details der Informationssicherheitsarbeit regeln und Anweisungen zur Einhaltung enthalten. Diese Anweisungen finden sich im Managementsystem Infosäk A, Infosäk F, Infosäk KD sowie im Kontinuitäts- und Katastrophenplan IT.
Verantwortung
- Der CEO ist letztverantwortlich für die Informationssicherheit und muss sicherstellen, dass Ressourcen und Kompetenzen vorhanden sind.
- Der CIO ist für die operative Umsetzung verantwortlich.
- Alle Mitarbeiter sind für die Einhaltung von Richtlinien, Leitlinien und Prozessen verantwortlich.
- Ausnahmen dürfen nur vom CIO beschlossen und müssen dokumentiert werden.
Zuletzt überarbeitet: 30.10.2025
Zuletzt genehmigt: 30.10.2025
Beschlossen nach Vorbereitung in der Konzernleitung
