Common use of Zugangskontrolle Clause in Contracts

Zugangskontrolle. Google ergreift unter anderem die folgenden Maßnahmen um die Nutzung von Datenverarbeitungsanlagen, mit denen Daten verarbeitet werden, durch Unbefugte zu verhindern: Sichere Zugangsverbindungen und Technologien zur Authentifizierungskontrolle sind implementiert, um den Zugang zu Google Produktivsysteme und interne Support-Tools zu reglementieren. Zugriffsrestriktionen stützen sich auf einen von Google entwickelten und verteilten Authentifizierungs-Service basierend auf Secure Socket Layer (SSL) Zertifikaten. Dieser Service bietet zudem Verschlüsselungsmethoden, um die Datensicherheit bei der Übertragung zu gewährleisten. Der Zugang zu internen Support-Tools an Autorisierte wird kontrolliert durch Access Control Lists (ACL). Verschlüsselungstechniken werden eingesetzt, um Benutzerauthentifizierungen und Administrator-Sessions über das Internet abzusichern. Der Datenfernzugriff auf Produktionsmaschinen benötigt eine Verbindung zum Firmennetzwerk, die über eine zweifache Authentifizierung geregelt ist. Google folgt einem formalen Prozess, um den Zugang zu Google-Ressourcen zu erlauben oder zu verweigern. Verschiedene Zugangsschutzmechanismen helfen dabei, sichere und flexible Zugriffe bereitzustellen. Einmalige Benutzerkennungen, starke Passwörter und periodische Überprüfungen der Zugriffslisten sind vorhanden, um die angemessene Verwendung von Benutzerkonten zu gewährleisten. Für kritische Systeme werden zudem Einmal- Kennwörter bzw. Einmal-Konten verwendet. Alle Gruppen, die Zugang zu Google Services haben, unterlaufen einer regelmäßigen Überprüfung. Alle genannten Maßnahmen sind in einem formalisierten Berechtigungskonzept beschrieben. Die Autorisierung bei Google Services wird jederzeit auf allen Ebenen des jeweiligen Systems erzwungen. Die Erteilung oder Bearbeitung von Zugriffsrechten basiert auf den Job-Verantwortlichkeiten des Benutzers oder auf einer Need-to-know-Basis und muss durch den zuständigen Vorgesetzten des Antragstellers autorisiert und bewilligt werden. Die Bewilligungen werden über Workflow-Tools durchgeführt. Der Zugriff auf Produktivsysteme wird nur geschulten und für die jeweilige Aktion berechtigten Benutzern gewährt. Ebenso wird der Zugriff auf Produktivsysteme im Falle einer Kündigung umgehend entzogen. Die Router sind entsprechend konfiguriert, um Google’s interne Netzwerk Domänen vor unautorisierten externen Verbindungen zu schützen und sicherzustellen, dass Computerverbindungen und Datenflüsse nicht die logische Zugriffsregelung der Google Systeme verletzt. Änderungen an den hardwareseitigen Netzwerkkomponenten oder an deren Konfiguration benötigen die Zustimmung des designierten Verantwortlichen und unterliegen einem Change-Managementprozess. Google hat ebenso Verschlüsselungsmethodiken, 2-Fach-Authentifizierung, Eingabe- und Session-logging für zentralisierte Serverumgebungen zur Überwachung der Produktivsysteme implementiert. Google hat eine Firewall-Konfigurationsregelung, welche akzeptable Ports definiert, die auf einer Google Firewall genutzt werden dürfen. Nur benötigte Ports und Dienste sind offen. Der Zugriff zum Ändern der Firewall-Konfiguration ist beschränkt auf das interne Sicherheits-Operations-Team. Das Sicherheits-Operations- Team überprüft regelmäßig kritische Firewall-Regeln.

Zugangskontrolle. Google ergreift unter anderem die folgenden Maßnahmen um die Nutzung von Datenverarbeitungsanlagen, mit denen Daten verarbeitet werden, durch Unbefugte zu verhindern: Sichere Zugangsverbindungen und Technologien zur Authentifizierungskontrolle sind implementiert, um den Der Zugang zu Google Produktivsysteme Informationswerten ist durch die fachlichen Anforderungen (‚Kenntnis nur soweit nötig‘19) und interne Supportim Einklang mit dem bestehenden Regelungsrahmen der Organisation (einschließlich der Informationssicherheitsstrategie) zu begründen. Es sind eindeutige Regeln für die Zugriffskontrolle auf Basis des Grundsatzes der minimalen Rechtevergabe20 festzulegen, die den Erfordernissen des jeweiligen Geschäftszwecks und der IT-Tools Prozesse genau Rechnung tragen. Soweit relevant (z. B. zur Backup-Verwaltung), müssen die logischen mit den physischen Zugriffskontrollen übereinstimmen, es sei denn, es bestehen angemessene Ausgleichskontrollen (z. B. Verschlüsselung, Anonymisierung personenbezogener Daten). Um die Zuweisung von Rechten zum Zugriff auf Informationssysteme und -dienste der Zahlungstransaktionskette zu reglementierenkontrollieren, müssen formelle, dokumentierte Verfahren umgesetzt werden. Zugriffsrestriktionen stützen sich Diese Verfahren müssen den gesamten Lebenszyklus des Nutzerzugangs abdecken – von der Erstregistrierung neuer Nutzer bis hin zur endgültigen Abmeldung von Nutzern, die keinen Zugang mehr benötigen. Besondere Beachtung erfordert gegebenenfalls die Zuweisung von Zugriffsrechten, die so kritisch sind, dass ihr Missbrauch zu einer schwerwiegenden Beeinträchtigung der betrieblichen Prozesse des Teilnehmers führen kann (z. B. Zugriffsrechte im Zusammenhang mit der Systemadministration, dem Umgehen von Systemkontrollen oder dem direkten Zugriff auf einen von Google entwickelten und verteilten Authentifizierungs-Service basierend auf Secure Socket Layer (SSL) ZertifikatenGeschäftsdaten). Dieser Service bietet zudem VerschlüsselungsmethodenEs sind angemessene Kontrollen einzurichten, um die Datensicherheit bei Nutzer an bestimmten Punkten des Netzwerks der Übertragung Organisation, beispielsweise für den lokalen oder Fernzugang zu Systemen der Zahlungstransaktionskette, zu ermitteln, zu authentifizieren und zu berechtigen. Um die Zurechenbarkeit zu gewährleisten, dürfen persönliche Konten nicht geteilt werden. Der Zugang Passwörter dürfen nicht einfach zu internen Support-Tools an Autorisierte wird kontrolliert erraten sein. Deshalb müssen Regeln (z. B. für die Komplexität und zeitlich begrenzte Gültigkeit der Passwörter) festgelegt und durch Access Control Lists (ACL)spezielle Kontrollen durchgesetzt werden. Verschlüsselungstechniken werden eingesetzt, um Benutzerauthentifizierungen und Administrator-Sessions über das Internet abzusichern. Der Datenfernzugriff auf Produktionsmaschinen benötigt eine Verbindung zum Firmennetzwerk, Es ist ein Protokoll für die über eine zweifache Authentifizierung geregelt ist. Google folgt einem formalen Prozess, um den Zugang zu Google-Ressourcen zu erlauben oder zu verweigern. Verschiedene Zugangsschutzmechanismen helfen dabei, sichere und flexible Zugriffe bereitzustellen. Einmalige Benutzerkennungen, starke Passwörter und periodische Überprüfungen der Zugriffslisten sind vorhanden, um die angemessene Verwendung von Benutzerkonten zu gewährleisten. Für kritische Systeme werden zudem Einmal- Kennwörter Wiederherstellung bzw. Einmal-Konten verwendet. Alle Gruppen, die Zugang Zurücksetzung von Passwörtern zu Google Services haben, unterlaufen einer regelmäßigen Überprüfung. Alle genannten Maßnahmen sind in einem formalisierten Berechtigungskonzept beschrieben. Die Autorisierung bei Google Services wird jederzeit auf allen Ebenen des jeweiligen Systems erzwungen. Die Erteilung oder Bearbeitung von Zugriffsrechten basiert auf den Job-Verantwortlichkeiten des Benutzers oder auf einer Need-to-know-Basis und muss durch den zuständigen Vorgesetzten des Antragstellers autorisiert und bewilligt werden. Die Bewilligungen werden über Workflow-Tools durchgeführt. Der Zugriff auf Produktivsysteme wird nur geschulten und für die jeweilige Aktion berechtigten Benutzern gewährt. Ebenso wird der Zugriff auf Produktivsysteme im Falle einer Kündigung umgehend entzogen. Die Router sind entsprechend konfiguriert, um Google’s interne Netzwerk Domänen vor unautorisierten externen Verbindungen zu schützen und sicherzustellen, dass Computerverbindungen und Datenflüsse nicht die logische Zugriffsregelung der Google Systeme verletzt. Änderungen an den hardwareseitigen Netzwerkkomponenten oder an deren Konfiguration benötigen die Zustimmung des designierten Verantwortlichen und unterliegen einem Change-Managementprozess. Google hat ebenso Verschlüsselungsmethodiken, 2-Fach-Authentifizierung, Eingabe- und Session-logging für zentralisierte Serverumgebungen zur Überwachung der Produktivsysteme implementiert. Google hat eine Firewall-Konfigurationsregelung, welche akzeptable Ports definiert, die auf einer Google Firewall genutzt werden dürfen. Nur benötigte Ports und Dienste sind offen. Der Zugriff zum Ändern der Firewall-Konfiguration ist beschränkt auf das interne Sicherheits-Operations-Team. Das Sicherheits-Operations- Team überprüft regelmäßig kritische Firewall-Regelnerstellen.

Zugangskontrolle. Google ergreift unter anderem Maßnahmen, die folgenden Maßnahmen um verhindern, dass Unbefugte die Nutzung Datenverarbeitungsanlagen und -verfahren benutzen: Alle internen Systeme sind an ein Active Directory angeschlossen. Zu den Hosting Sys- temen existiert kein administrativer und direkter Zugang. Der Administrations-Zugang wird indirekt über Jump Ser ver hergestellt. Diese Zugänge sind besonders gesichert und haben besondere Anforderungen an die Passwörter: - min. 16 Zeichen - Bestehend aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen - Wechsel alle 7 Tage - Die Passwörter dürfen nicht aus Namen, Wörtern oder Tastaturmustern bestehen. Alle Systeme sind über redundante Internet Leitungen (die aus 2 Bundesländern zugeführt werden) mit der Außenwelt verbunden. Diese Verbindungen werden durch mehrere zentrale Firewall Systeme abgesichert. Die Regelwerke dieser Firewall werden in kurzen Abständen überarbeitet. Die Firewalls werden extern von Datenverarbeitungsanlageneinem professionellen Anbieter gepflegt und sowohl intern als auch extern überwacht. Hierdurch wird eine frühzeitige automatische Angriffserkennung gewährleistet. Alle Kundennetzte sind über VLAN voneinander getrennt. Jedes Kundennetz (im Bereich Housing optional) erhält zudem eine professionelle Firewall als persönliche Zugangskontrolle zur Selbstverwaltung. Zugriffskontrolle Maßnahmen, mit denen die gewährleisten, dass die zur Benutzung der Datenverarbeitungsver- fahren Befugten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden personenbezogenen Daten verarbeitet werdenzugreifen können: Es liegt ein anwenderbezogenes Berechtigungskonzept vor, durch Unbefugte zu verhindern: Sichere Zugangsverbindungen und Technologien zur Authentifizierungskontrolle sind implementiert, um den Zugang zu Google Produktivsysteme und interne Support-Tools zu reglementierendass im Active Directory umgesetzt wird. Zugriffsrestriktionen stützen Die realisierte Berechtigungsstruktur bezieht sich auf einen von Google entwickelten das gesamte System des Unternehmens: Die Berechtigungen können auf Dateien, auf Datensätze, auf Anwendungsprogramme und verteilten Authentifizierungs-Service basierend das Betriebssystem differenziert werden und die Lese-, Änderungs- und Löschrechte einschränken. Es wird sichergestellt, dass jeder Benutzer nur auf Secure Socket Layer die Daten zugreifen kann, zu denen er zugriffsberechtigt ist. Das Berechtigungs- konzept, dass sich an den Stellungen der Mitarbeiter orientiert, ist schriftlich festgehalten (SSL) Zertifikaten. Dieser Service bietet zudem Verschlüsselungsmethoden, um die Datensicherheit bei der Übertragung zu gewährleisten. Der Zugang zu internen Support-Tools an Autorisierte wird kontrolliert durch Access Control Lists (ACLDokumentation über das Active Directory). Verschlüsselungstechniken Verschiedene Zugriffsrechte werden eingesetztdurch vorgefertigte Benutzerprofile zusammengefasst. Weiterhin ist das Berechtigungskonzept programmtechnisch in der Anwendung, um Benutzerauthentifizierungen im Active Directory hinterlegt. Sämtliche Zugriffe der Benutzer werden protokolliert. Es gibt eine durchgängige physikalische Trennung zwischen Management (Administrator) System und AdministratorProduktivnetz (Kundennetze). Bei den Management-Sessions über das Internet abzusichernSystemen wird sehr differenziert auf die Notwendigkeit des Zugriffs durch die Mitarbeiter geachtet. Der Datenfernzugriff Jeder Zugriff eines Mitarbeiters wird protokolliert. Kundenpasswörter zum Zugriff auf Produktionsmaschinen benötigt eine Verbindung zum Firmennetzwerk, die über eine zweifache Authentifizierung geregelt ist. Google folgt einem formalen Prozess, um den Zugang zu Google-Ressourcen zu erlauben oder zu verweigern. Verschiedene Zugangsschutzmechanismen helfen dabei, sichere Ver waltungsoberflächen werden automatisch als kryptisches Passwort generiert und flexible Zugriffe bereitzustellen. Einmalige Benutzerkennungen, starke Passwörter und periodische Überprüfungen der Zugriffslisten sind vorhanden, um die angemessene Verwendung von Benutzerkonten zu gewährleisten. Für kritische Systeme werden zudem Einmal- Kennwörter bzw. Einmal-Konten verwendet. Alle Gruppen, die Zugang zu Google Services haben, unterlaufen in einer regelmäßigen Überprüfung. Alle genannten Maßnahmen sind in einem formalisierten Berechtigungskonzept beschriebeneigenen Datenbank verschlüsselt abgelegt. Die Autorisierung bei Google Services wird jederzeit auf allen Ebenen des jeweiligen Systems erzwungen. Die Erteilung oder Bearbeitung von Zugriffsrechten basiert auf Passwörter sind den Job-Verantwortlichkeiten des Benutzers oder auf einer Need-to-know-Basis und muss durch den zuständigen Vorgesetzten des Antragstellers autorisiert und bewilligt werden. Die Bewilligungen werden über Workflow-Tools durchgeführt. Der Zugriff auf Produktivsysteme wird nur geschulten und für die jeweilige Aktion berechtigten Benutzern gewährt. Ebenso wird Mitarbeitern der Zugriff auf Produktivsysteme im Falle einer Kündigung umgehend entzogen. Die Router sind entsprechend konfiguriert, um Google’s interne Netzwerk Domänen vor unautorisierten externen Verbindungen zu schützen und sicherzustellen, dass Computerverbindungen und Datenflüsse nicht die logische Zugriffsregelung der Google Systeme verletzt. Änderungen an den hardwareseitigen Netzwerkkomponenten oder an deren Konfiguration benötigen die Zustimmung des designierten Verantwortlichen und unterliegen einem Change-Managementprozess. Google hat ebenso Verschlüsselungsmethodiken, 2-Fach-Authentifizierung, Eingabe- und Session-logging für zentralisierte Serverumgebungen zur Überwachung der Produktivsysteme implementiert. Google hat eine Firewall-Konfigurationsregelung, welche akzeptable Ports definiert, die auf einer Google Firewall genutzt werden dürfen. Nur benötigte Ports und Dienste sind offen. Der Zugriff zum Ändern der Firewall-Konfiguration ist beschränkt auf das interne Sicherheits-Operations-Team. Das Sicherheits-Operations- Team überprüft regelmäßig kritische Firewall-RegelnTerra Cloud unbekannt.

Zugangskontrolle. Google ergreift unter anderem die folgenden Maßnahmen um die Nutzung von Datenverarbeitungsanlagen, mit denen Daten verarbeitet werden, Die Kontrolle des Zugangs zu IT- Systeme erfolgt durch Unbefugte zu verhindern: Sichere Zugangsverbindungen und Technologien zur Authentifizierungskontrolle sind implementiert, um den Zugang zu Google Produktivsysteme und interne Support-Tools zu reglementieren. Zugriffsrestriktionen stützen sich auf einen von Google entwickelten und verteilten Authentifizierungs-Service basierend auf Secure Socket Layer (SSL) Zertifikaten. Dieser Service bietet zudem Verschlüsselungsmethoden, um die Datensicherheit bei der Übertragung zu gewährleisten. Der Zugang zu internen Support-Tools an Autorisierte wird kontrolliert durch Access Control Lists (ACL). Verschlüsselungstechniken werden eingesetzt, um Benutzerauthentifizierungen und Administrator-Sessions über das Internet abzusichern. Der Datenfernzugriff auf Produktionsmaschinen benötigt eine Verbindung zum Firmennetzwerkfolgende Maßnahmen, die über eine zweifache Authentifizierung geregelt ist. Google folgt einem formalen Prozess, um fortlaufend nach den Zugang zu Google-Ressourcen zu erlauben oder zu verweigern. Verschiedene Zugangsschutzmechanismen helfen dabei, sichere IT Security Vorgaben der Samsung Gruppe umgesetzt und flexible Zugriffe bereitzustellen. Einmalige Benutzerkennungen, starke Passwörter und periodische Überprüfungen der Zugriffslisten sind vorhanden, um die angemessene Verwendung von Benutzerkonten zu gewährleisten. Für kritische Systeme werden zudem Einmal- Kennwörter bzw. Einmal-Konten verwendet. Alle Gruppen, die Zugang zu Google Services haben, unterlaufen einer deren Einhaltung in regelmäßigen Überprüfung. Alle genannten Maßnahmen Audits überprüft wird: a. Verarbeitungssysteme für personenbezogene Daten sind in einem formalisierten Berechtigungskonzept beschrieben. eigenen, durch Firewalls abgeschotteten, Netzwerksegment zu betreiben b. Zugriff auf das in a. benannte abgeschottete Netzwerksegment ist nur für freigegebene IPs zulässig c. Zugriffe und Zugriffsversuche werden protokolliert und ausgewertet d. Zugangsberechtigungen werden nur nach Genehmigung durch Vorgesetzte erteilt e. Die Autorisierung bei Google Services wird jederzeit Zugangsrechte für die Verarbeitungssysteme von personenbezogenen Daten sind auf allen Ebenen des jeweiligen Systems erzwungen. Die Erteilung oder Bearbeitung von Zugriffsrechten basiert auf den Job-Verantwortlichkeiten des Benutzers oder auf einer das Minimum beschränkt, welches für die Durchführung der Arbeiten durch die zuständige Person erforderlich ist (Need-to-know). f. Benutzerkonten, die den Zugriff auf Verarbeitungssysteme für personenbezogene Daten ermöglichen, werden für einzelne Mitarbeiter angelegt. Für jeden Mitarbeiter, der auf personenbezogene Daten in diesem Verarbeitungssystem zugreift, ist ein eigenes Benutzerkonto eingerichtet; ein solches Benutzerkonto darf nicht mit anderen Bearbeitern von personenbezogenen Daten geteilt werden; Die Nutzung der IT Systeme erfordert durchgängig eine Anmeldung mit eindeutigem Benutzernamen und Passwort g. Passwörtern müssen sicher sein und den Mindestanforderungen für Passwörter gemäß der SEG Datensicherheitsrichtlinie entsprechen. h. Es bestehen automatische Sperrmechanismen bei falschen Passworteingaben: Wenn ein falsches Passwort mehr als eine bestimmte Anzahl von Versuchen (maximal 5 Versuche) eingegeben wird, wird der Zugang zu dem Verarbeitungssystem für personenbezogene Daten blockiert. i. Die Zugangsrechte zu dem Verarbeitungssystem für personenbezogene Daten werden unverzüglich widerrufen, wenn der Bearbeiter der personenbezogenen Daten diese Zugangsrechte nicht mehr benötigt (z.B. aufgrund von Personalumstellungen, Freistellung, Elternzeit oder Eintritt in den Ruhestand etc.). j. Details der Autorisierungen, Änderungen oder Widerrufe werden protokolliert und die entsprechenden Aufzeichnungen mindestens drei Jahre lang aufbewahrt (im Helpdesk Ticketing System). k. Protokollierung und Kontrolle fehlgeschlagener Anmeldeversuche l. Zugriffe auf personenbezogene Daten außerhalb des internen Netzwerkes haben über eine besonders gesicherte Verbindung zu geschehen, welche die Daten im Transfer ausreichend schützt und die eindeutige Authentifizierung der zugreifenden Person ermöglicht (z.B. VPN-Basis Tunnel) m. Zwei-Faktor-Authentifizierung für VPN-Fernzugriffe n. Der Systemzugang wird automatisch unterbunden, wenn der Bearbeiter von personenbezogenen Daten seine Bearbeitung für einen bestimmten Zeitraum einstellt. Automatische Sperrung verwaister Benutzerkonten; Entsperrung nur über den IT-Helpdesk nach Prüfung der Berechtigungen möglich. o. Eine Verschlüsselung von Microsoft–Office, Adobe u.a. Dokumenten findet mit der Samsung-internen Verschlüsselungssoftware unter Verwendung eines geeigneten Verschlüsselungsalgorithmus nach konzerninternen IT Security-Richtlinien statt p. Externe Speicherung auf mobilen Datenspeichern (inkl. mobile Endgeräte) sind verboten und muss können nur nach separater Genehmigung (durch den zuständigen Vorgesetzten des Antragstellers autorisiert Vorgesetzten, IT Manager und bewilligt Controller) genutzt werden. Die Bewilligungen Ausnahmegenehmigungen werden über Workflow-Tools durchgeführt. Der Zugriff auf Produktivsysteme wird nur geschulten und für die jeweilige Aktion berechtigten Benutzern gewährt. Ebenso wird der Zugriff auf Produktivsysteme im Falle einer Kündigung umgehend entzogen. Die Router sind entsprechend konfiguriert, um Google’s interne Netzwerk Domänen vor unautorisierten externen Verbindungen zu schützen Bedarfsfall und sicherzustellen, dass Computerverbindungen auch dann stets nur auf 12 Monate befristet erteilt. q. Es findet eine physische Löschung der elektronischen Daten und Datenflüsse nicht die logische Zugriffsregelung der Google Systeme verletzt. Änderungen an eine physikalische Zerstörung von den hardwareseitigen Netzwerkkomponenten oder an deren Konfiguration benötigen die Zustimmung des designierten Verantwortlichen und unterliegen einem ChangeDatenträgern nach konzerninternen IT Security-Managementprozess. Google hat ebenso Verschlüsselungsmethodiken, 2-Fach-Authentifizierung, Eingabe- und Session-logging für zentralisierte Serverumgebungen zur Überwachung der Produktivsysteme implementiert. Google hat eine Firewall-Konfigurationsregelung, welche akzeptable Ports definiert, die auf einer Google Firewall genutzt werden dürfen. Nur benötigte Ports und Dienste sind offen. Der Zugriff zum Ändern der Firewall-Konfiguration ist beschränkt auf das interne Sicherheits-Operations-Team. Das Sicherheits-Operations- Team überprüft regelmäßig kritische Firewall-Regeln.Richtlinien statt

Zugangskontrolle. Google ergreift unter anderem Die Zugangskontrolle betrifft insbesondere Maßnahmen, die folgenden Maßnahmen um Unbefugten die Nutzung von der Datenverarbeitungsanlagen, mit denen der Auftragsverarbeiter personenbezogene Daten verarbeitet verarbeitet, sowie zu Dateien und Speichermedien, die personenbezogene Daten beinhalten, verwehren, also eine unberechtigte Systembenutzung zu verhindern. Insoweit wird auch gewährleistet, dass personenbezogene Daten während der Verarbeitung ohne Autorisierung nicht gelesen, kopiert, geändert, gespeichert oder entfernt werden können. Der Auftragsverarbeiter setzt insoweit insbesondere folgende Maßnahmen hierzu um: Zwei-Faktor-Authentifizierung (mit Mindestlänge nach BSI-Standard bzw. Stand der Technik, sowie mit regelmäßiger Änderung und strenger Vertraulichkeit für verwendete Passwörter) SSH-Netzwerkprotokoll und VPN-Verbindung für den Zugriff auf die Plaflforminfrastruktur Automatische Sperre, Abmeldung Berechtigungskonzepte (Beschränkung auf autorisierte Mitarbeiter auf Rollenbasis) Verschlüsselte Speichermedien Nachverfolgung unerlaubter Aktivitäten/Zugriffe Verkapselung sensibler Systeme durch separate Netzwerkbereiche Firewall, regelmäßig aktualisierte Antiviren-Programme Dokumentierte Richtlinie zum sicheren und ordnungsgemäßen Umgang mit Passwörtern, Sicherung (mobiler) Endgeräte und Festplaflenverschlüsselung Die Zugangsberechtigungen werden durch den technischen Leiter vergeben. Die Verwaltung dieser Zugangsberechtigungen erfolgt durch autorisierte Administratoren. Ein Fernzugriff auf Server des Auftragsverarbeiters zu administrativen Zwecken, z.B. zur Wartung der Systeme, ist nur über verschlüsselte Verbindungen und nach vorheriger Authentifizierung möglich – hier: 4-Augen-Prinzip (nur überwachte Fernzugriffe) Alle Arbeitsplatzsysteme (auch Laptops) sind zudem vor unberechtigtem Zugang geschützt. Dies erfolgt insbesondere durch obige Grundsätze sowie dadurch, dass alle verwendeten Arbeitsplatzsysteme sich hinter einer Firewall befinden, alle verwendeten Arbeitsplatzsysteme mit einer aktuellen Antiviren-Software ausgestaflet sind, alle verwendeten Arbeitsplatzsysteme nach Inaktivität gesperrt werden, durch Unbefugte zu verhindern: Sichere Zugangsverbindungen und Technologien zur Authentifizierungskontrolle sind implementiert, um den Zugang zu Google Produktivsysteme und interne Support-Tools zu reglementieren. Zugriffsrestriktionen stützen sich auf einen von Google entwickelten und verteilten Authentifizierungs-Service basierend auf Secure Socket Layer (SSL) Zertifikaten. Dieser Service bietet zudem Verschlüsselungsmethoden, um die Datensicherheit bei der Übertragung zu gewährleisten. Der Zugang zu internen Support-Tools an Autorisierte wird kontrolliert durch Access Control Lists (ACL). Verschlüsselungstechniken werden eingesetzt, um Benutzerauthentifizierungen und Administrator-Sessions über das Internet abzusichern. Der Datenfernzugriff auf Produktionsmaschinen benötigt eine Verbindung zum Firmennetzwerk, die  alle verwendeten Arbeitsplatzsysteme über eine zweifache Zwei-Faktor Authentifizierung geregelt ist. Google folgt einem formalen Prozessverfügen, um den Zugang zu Google-Ressourcen zu erlauben oder zu verweigern. Verschiedene Zugangsschutzmechanismen helfen dabei, sichere alle Mitarbeiter des Auftragsverarbeiters ausschließlich mit personalisierten Benutzerprofilen arbeiten und flexible Zugriffe bereitzustellen. Einmalige Benutzerkennungen, starke Passwörter und periodische Überprüfungen der Zugriffslisten sind vorhanden, um die angemessene Verwendung von Benutzerkonten zu gewährleisten. Für kritische Systeme werden zudem Einmal- Kennwörter bzw. Einmal-Konten verwendet. Alle Gruppen, die Zugang zu Google Services haben, unterlaufen einer regelmäßigen Überprüfung. Alle genannten Maßnahmen sind in einem formalisierten Berechtigungskonzept beschrieben. Die Autorisierung bei Google Services wird jederzeit auf allen Ebenen des jeweiligen Systems erzwungen. Die Erteilung oder Bearbeitung von Zugriffsrechten basiert auf den Job-Verantwortlichkeiten des Benutzers oder auf einer Need-to-know-Basis und muss durch den zuständigen Vorgesetzten des Antragstellers autorisiert und bewilligt werden. Die Bewilligungen werden über Workflow-Tools durchgeführt. Der Zugriff auf Produktivsysteme wird nur geschulten und für die jeweilige Aktion berechtigten Benutzern gewährt. Ebenso wird der Zugriff auf Produktivsysteme im Falle einer Kündigung umgehend entzogen. Die Router sind entsprechend konfiguriert, um Google’s interne Netzwerk Domänen vor unautorisierten externen Verbindungen zu schützen und sicherzustellen, dass Computerverbindungen und Datenflüsse nicht die logische Zugriffsregelung der Google Systeme verletzt. Änderungen an den hardwareseitigen Netzwerkkomponenten oder an deren Konfiguration benötigen die Zustimmung des designierten Verantwortlichen und unterliegen einem Change-Managementprozess. Google hat ebenso Verschlüsselungsmethodiken, 2-Fach-Authentifizierung, Eingabe- und Session-logging für zentralisierte Serverumgebungen zur Überwachung der Produktivsysteme implementiert. Google hat eine Firewall-Konfigurationsregelung, welche akzeptable Ports definiert, die auf einer Google Firewall genutzt werden dürfen. Nur benötigte Ports und Dienste sind offen. Der Zugriff zum Ändern der Firewall-Konfiguration ist beschränkt auf das interne Sicherheits-Operations-Team. Das Sicherheits-Operations- Team überprüft regelmäßig kritische Firewall-Regelnalle mobilen Datenträger (insbesondere Laptops) verschlüsselt sind.

Zugangskontrolle. Google ergreift unter anderem die folgenden Maßnahmen um die Nutzung von Datenverarbeitungsanlagen, mit denen Daten verarbeitet werden, durch Unbefugte zu verhindern: Sichere Zugangsverbindungen und Technologien zur Authentifizierungskontrolle sind implementiert, um den Der Zugang zu Google Produktivsysteme Informationswerten ist durch die fachlichen Anforderungen (‚Kenntnis nur soweit nötig‘16) und interne Supportim Einklang mit dem bestehenden Regelungsrahmen der Organisation (einschließlich der Informationssicherheitsstrategie) zu begründen. Es sind eindeutige Regeln für die Zugriffskontrolle auf Basis des Grundsatzes der minimalen Rechtevergabe17 festzulegen, die den Erfordernissen des jeweiligen Geschäftszwecks und der IT-Tools Prozesse genau Rechnung tragen. Soweit relevant (z. B. zur Backup-Verwaltung), müssen die logischen mit den physischen Zugriffskontrollen übereinstimmen, es sei denn, es bestehen angemessene Ausgleichskontrollen (z. B. Verschlüsselung, Anonymisierung personenbezogener Daten). Um die Zuweisung von Rechten zum Zugriff auf Informationssysteme und -dienste der Zahlungstransaktionskette zu reglementierenkontrollieren, müssen formelle, dokumentierte Verfahren umgesetzt werden. Zugriffsrestriktionen stützen sich Diese Verfahren müssen den gesamten Lebenszyklus des Nutzerzugangs abdecken – von der Erstregistrierung neuer Nutzer bis hin zur endgültigen Abmeldung von Nutzern, die keinen Zugang mehr benötigen. Besondere Beachtung erfordert gegebenenfalls die Zuweisung von Zugriffsrechten, die so kritisch sind, dass ihr Missbrauch zu einer schwerwiegenden Beeinträchtigung der betrieblichen Prozesse des Teilnehmers führen kann (z. B. Zugriffsrechte im Zusammenhang mit der Systemadministration, dem Umgehen von Systemkontrollen oder dem direkten Zugriff auf einen von Google entwickelten und verteilten Authentifizierungs-Service basierend auf Secure Socket Layer (SSL) ZertifikatenGeschäftsdaten). Dieser Service bietet zudem VerschlüsselungsmethodenEs sind angemessene Kontrollen einzurichten, um die Datensicherheit bei Nutzer an bestimmten Punkten des Netzwerks der Übertragung Organisation, beispielsweise für den lokalen oder Fernzugang zu Systemen der Zahlungstransaktionskette, zu ermitteln, zu authentifizieren und zu berechtigen. Um die Zurechenbarkeit zu gewährleisten, dürfen persönliche Konten nicht geteilt werden. Der Zugang Passwörter dürfen nicht einfach zu internen Support-Tools an Autorisierte wird kontrolliert erraten sein. Deshalb müssen Regeln (z. B. für die Komplexität und zeitlich begrenzte Gültigkeit der Passwörter) festgelegt und durch Access Control Lists (ACL)spezielle Kontrollen durchgesetzt werden. Verschlüsselungstechniken werden eingesetzt, um Benutzerauthentifizierungen und Administrator-Sessions über das Internet abzusichern. Der Datenfernzugriff auf Produktionsmaschinen benötigt eine Verbindung zum Firmennetzwerk, Es ist ein Protokoll für die über eine zweifache Authentifizierung geregelt ist. Google folgt einem formalen Prozess, um den Zugang zu Google-Ressourcen zu erlauben oder zu verweigern. Verschiedene Zugangsschutzmechanismen helfen dabei, sichere und flexible Zugriffe bereitzustellen. Einmalige Benutzerkennungen, starke Passwörter und periodische Überprüfungen der Zugriffslisten sind vorhanden, um die angemessene Verwendung von Benutzerkonten zu gewährleisten. Für kritische Systeme werden zudem Einmal- Kennwörter Wiederherstellung bzw. Einmal-Konten verwendet. Alle Gruppen, die Zugang Zurücksetzung von Passwörtern zu Google Services haben, unterlaufen einer regelmäßigen Überprüfung. Alle genannten Maßnahmen sind in einem formalisierten Berechtigungskonzept beschrieben. Die Autorisierung bei Google Services wird jederzeit auf allen Ebenen des jeweiligen Systems erzwungen. Die Erteilung oder Bearbeitung von Zugriffsrechten basiert auf den Job-Verantwortlichkeiten des Benutzers oder auf einer Need-to-know-Basis und muss durch den zuständigen Vorgesetzten des Antragstellers autorisiert und bewilligt werden. Die Bewilligungen werden über Workflow-Tools durchgeführt. Der Zugriff auf Produktivsysteme wird nur geschulten und für die jeweilige Aktion berechtigten Benutzern gewährt. Ebenso wird der Zugriff auf Produktivsysteme im Falle einer Kündigung umgehend entzogen. Die Router sind entsprechend konfiguriert, um Google’s interne Netzwerk Domänen vor unautorisierten externen Verbindungen zu schützen und sicherzustellen, dass Computerverbindungen und Datenflüsse nicht die logische Zugriffsregelung der Google Systeme verletzt. Änderungen an den hardwareseitigen Netzwerkkomponenten oder an deren Konfiguration benötigen die Zustimmung des designierten Verantwortlichen und unterliegen einem Change-Managementprozess. Google hat ebenso Verschlüsselungsmethodiken, 2-Fach-Authentifizierung, Eingabe- und Session-logging für zentralisierte Serverumgebungen zur Überwachung der Produktivsysteme implementiert. Google hat eine Firewall-Konfigurationsregelung, welche akzeptable Ports definiert, die auf einer Google Firewall genutzt werden dürfen. Nur benötigte Ports und Dienste sind offen. Der Zugriff zum Ändern der Firewall-Konfiguration ist beschränkt auf das interne Sicherheits-Operations-Team. Das Sicherheits-Operations- Team überprüft regelmäßig kritische Firewall-Regelnerstellen.

Zugangskontrolle. Google ergreift unter anderem die folgenden Maßnahmen um die Nutzung von Datenverarbeitungsanlagen, mit denen Daten verarbeitet werden, durch Unbefugte zu verhindern: Sichere Zugangsverbindungen und Technologien zur Authentifizierungskontrolle sind implementiert, um den Zugang zu Google Produktivsysteme und interne Support-Tools zu reglementieren. Zugriffsrestriktionen stützen sich auf einen von Google entwickelten und verteilten Authentifizierungs-Service basierend auf Secure Socket Layer (SSL) Zertifikaten. Dieser Service bietet zudem Verschlüsselungsmethoden, um die Datensicherheit bei der Übertragung zu gewährleisten. Der Zugang zu internen Support-Tools an Autorisierte wird kontrolliert durch Access Control Lists (ACL). Verschlüsselungstechniken werden eingesetzt, um Benutzerauthentifizierungen und Administrator-Sessions über das Internet abzusichern. Der Datenfernzugriff auf Produktionsmaschinen benötigt eine Verbindung zum Firmennetzwerk, die über eine zweifache Authentifizierung geregelt ist. Google folgt einem formalen Prozess, um den Zugang zu Google-Ressourcen zu erlauben oder zu verweigern. Verschiedene Zugangsschutzmechanismen helfen dabei, sichere und flexible Zugriffe bereitzustellen. Einmalige Benutzerkennungen, starke Passwörter und periodische Überprüfungen der Zugriffslisten sind vorhanden, um die angemessene Verwendung von Benutzerkonten zu gewährleisten. Für kritische Systeme werden zudem Einmal- Einmal-Kennwörter bzw. Einmal-Konten verwendet. Alle Gruppen, die Zugang zu Google Services haben, unterlaufen einer regelmäßigen Überprüfung. Alle genannten Maßnahmen sind in einem formalisierten Berechtigungskonzept beschrieben. Die Autorisierung bei Google Services wird jederzeit auf allen Ebenen des jeweiligen Systems erzwungen. Die Erteilung oder Bearbeitung von Zugriffsrechten basiert auf den Job-Job- Verantwortlichkeiten des Benutzers oder auf einer Need-to-know-Basis und muss durch den zuständigen Vorgesetzten des Antragstellers autorisiert und bewilligt werden. Die Bewilligungen werden über Workflow-Tools durchgeführt. Der Zugriff auf Produktivsysteme wird nur geschulten und für die jeweilige Aktion berechtigten Benutzern gewährt. Ebenso wird der Zugriff auf Produktivsysteme im Falle einer Kündigung umgehend entzogen. Die Router sind entsprechend konfiguriert, um Google’s interne Netzwerk Domänen vor unautorisierten externen Verbindungen zu schützen und sicherzustellen, dass Computerverbindungen und Datenflüsse nicht die logische Zugriffsregelung der Google Systeme verletzt. Änderungen an den hardwareseitigen Netzwerkkomponenten oder an deren Konfiguration benötigen die Zustimmung des designierten Verantwortlichen und unterliegen einem Change-Change- Managementprozess. Google hat ebenso Verschlüsselungsmethodiken, 2-Fach-Authentifizierung, Eingabe- und Session-Session- logging für zentralisierte Serverumgebungen zur Überwachung der Produktivsysteme implementiert. Google hat eine Firewall-Konfigurationsregelung, welche akzeptable Ports definiert, die auf einer Google Firewall genutzt werden dürfen. Nur benötigte Ports und Dienste sind offen. Der Zugriff zum Ändern der Firewall-Konfiguration ist beschränkt auf das interne Sicherheits-Operations-Team. Das Sicherheits-Operations- Operations-Team überprüft regelmäßig kritische Firewall-Regeln.

Zugangskontrolle. Google ergreift unter anderem die folgenden Maßnahmen um die Nutzung von Datenverarbeitungsanlagen, mit denen Daten verarbeitet werden, durch Unbefugte zu verhindern: Sichere Zugangsverbindungen und Technologien zur Authentifizierungskontrolle sind implementiert, um den Der Zugang zu Google Produktivsysteme Informationswerten ist durch die fachlichen Anforderungen (‚Kenntnis nur soweit nötig‘13) und interne Supportim Einklang mit dem bestehenden Regelungsrahmen der Organisation (einschließlich der Informationssicherheitsstrategie) zu begründen. Es sind eindeutige Regeln für die Zugriffskontrolle auf Basis des Grundsatzes der minimalen Rechtevergabe14 festzulegen, die den Erfordernissen des jeweiligen Geschäftszwecks und der IT-Tools Prozesse genau Rechnung tragen. Soweit relevant (z. B. zur Backup- Verwaltung), müssen die logischen mit den physischen Zugriffskontrollen übereinstimmen, es sei denn, es bestehen angemessene Ausgleichskontrollen (z. B. Verschlüsselung, Anonymisierung personenbezogener Daten). Um die Zuweisung von Rechten zum Zugriff auf Informationssysteme und -dienste der Zahlungstransaktionskette zu reglementierenkontrollieren, müssen formelle, dokumentierte Verfahren umgesetzt werden. Zugriffsrestriktionen stützen sich Diese Verfahren müssen den gesamten Lebenszyklus des Nutzerzugangs abdecken – von der Erstregistrierung neuer Nutzer bis hin zur endgültigen Abmeldung von Nutzern, die keinen Zugang mehr benötigen. Besondere Beachtung erfordert gegebenenfalls die Zuweisung von Zugriffsrechten, die so kritisch sind, dass ihr Missbrauch zu einer schwerwiegenden Beeinträchtigung der betrieblichen Prozesse des Teilnehmers führen kann (z. B. Zugriffsrechte im Zusammenhang mit der Systemadministration, dem Umgehen von Systemkontrollen oder dem direkten Zugriff auf einen von Google entwickelten und verteilten Authentifizierungs-Service basierend auf Secure Socket Layer (SSL) ZertifikatenGeschäftsdaten). Dieser Service bietet zudem VerschlüsselungsmethodenEs sind angemessene Kontrollen einzurichten, um die Datensicherheit bei Nutzer an bestimmten Punkten des Netzwerks der Übertragung Organisation, beispielsweise für den lokalen oder Fernzugang zu Systemen der Zahlungstransaktionskette, zu ermitteln, zu authentifizieren und zu berechtigen. Um die Zurechenbarkeit zu gewährleisten, dürfen persönliche Konten nicht geteilt werden. Der Zugang Passwörter dürfen nicht einfach zu internen Support-Tools an Autorisierte wird kontrolliert erraten sein. Deshalb müssen Regeln (z. B. für die Komplexität und zeitlich begrenzte Gültigkeit der Passwörter) festgelegt und durch Access Control Lists (ACL)spezielle Kontrollen durchgesetzt werden. Verschlüsselungstechniken werden eingesetzt, um Benutzerauthentifizierungen und Administrator-Sessions über das Internet abzusichern. Der Datenfernzugriff auf Produktionsmaschinen benötigt eine Verbindung zum Firmennetzwerk, Es ist ein Protokoll für die über eine zweifache Authentifizierung geregelt ist. Google folgt einem formalen Prozess, um den Zugang zu Google-Ressourcen zu erlauben oder zu verweigern. Verschiedene Zugangsschutzmechanismen helfen dabei, sichere und flexible Zugriffe bereitzustellen. Einmalige Benutzerkennungen, starke Passwörter und periodische Überprüfungen der Zugriffslisten sind vorhanden, um die angemessene Verwendung von Benutzerkonten zu gewährleisten. Für kritische Systeme werden zudem Einmal- Kennwörter Wiederherstellung bzw. Einmal-Konten verwendet. Alle Gruppen, die Zugang Zurücksetzung von Passwörtern zu Google Services haben, unterlaufen einer regelmäßigen Überprüfung. Alle genannten Maßnahmen sind in einem formalisierten Berechtigungskonzept beschrieben. Die Autorisierung bei Google Services wird jederzeit auf allen Ebenen des jeweiligen Systems erzwungen. Die Erteilung oder Bearbeitung von Zugriffsrechten basiert auf den Job-Verantwortlichkeiten des Benutzers oder auf einer Need-to-know-Basis und muss durch den zuständigen Vorgesetzten des Antragstellers autorisiert und bewilligt werden. Die Bewilligungen werden über Workflow-Tools durchgeführt. Der Zugriff auf Produktivsysteme wird nur geschulten und für die jeweilige Aktion berechtigten Benutzern gewährt. Ebenso wird der Zugriff auf Produktivsysteme im Falle einer Kündigung umgehend entzogen. Die Router sind entsprechend konfiguriert, um Google’s interne Netzwerk Domänen vor unautorisierten externen Verbindungen zu schützen und sicherzustellen, dass Computerverbindungen und Datenflüsse nicht die logische Zugriffsregelung der Google Systeme verletzt. Änderungen an den hardwareseitigen Netzwerkkomponenten oder an deren Konfiguration benötigen die Zustimmung des designierten Verantwortlichen und unterliegen einem Change-Managementprozess. Google hat ebenso Verschlüsselungsmethodiken, 2-Fach-Authentifizierung, Eingabe- und Session-logging für zentralisierte Serverumgebungen zur Überwachung der Produktivsysteme implementiert. Google hat eine Firewall-Konfigurationsregelung, welche akzeptable Ports definiert, die auf einer Google Firewall genutzt werden dürfen. Nur benötigte Ports und Dienste sind offen. Der Zugriff zum Ändern der Firewall-Konfiguration ist beschränkt auf das interne Sicherheits-Operations-Team. Das Sicherheits-Operations- Team überprüft regelmäßig kritische Firewall-Regelnerstellen.

Zugangskontrolle. Google ergreift unter anderem Der Auftragnehmer hat die folgenden Maßnahmen um im- plementiert, die Nutzung von Datenverarbeitungsanlagenverhindern, mit denen Daten verarbeitet werden, durch dass Unbefugte zu verhindern: Sichere Zugangsverbindungen und Technologien zur Authentifizierungskontrolle sind implementiert, um den Zugang zu Google Produktivsysteme den Datenverarbeitungsanlagen des Auftragnehmers haben: Zugang zu den Datenverarbeitungsanlagen enthält nur, wer die Berechtigung dazu erteilt bekommen hat und interne Supportnur unter Nutzung eines individuellen Benutzernamens und eines (sicheren) Kenn-Tools zu reglementierenworts (Zugangsschutz). Zugriffsrestriktionen stützen sich auf einen von Google entwickelten Die Vergabe und verteilten Authentifizierungs-Service basierend auf Secure Socket Layer (SSL) Zertifikaten. Dieser Service bietet zudem Verschlüsselungsmethoden, um der Entzug der Berechtigung erfolgt durch den jeweiligen Kompetenzträger gemäß den für die Datensicherheit bei der Übertragung zu gewährleistenVergabe oder den Entzug geltenden internen Regelun- gen. Der Umgang mit Kennwörtern (Stärke des Kenn- worts, Geheim-haltung, Verwendung, automatische Sperrung nach Fehleingaben etc.) sind ebenfalls in in- ternen Regelungen dokumentiert, deren Einhaltung und Wirksamkeit regelmäßig überprüft wird. Die Vergabe o- der der Entzug der Zugangsberechtigungen werden do- kumentiert und regelmäßig überprüft. Die internen Netze sind durch ein Virenschutz- und Fire- wall-Konzept gegen unberechtigten Zugang zu internen Support-Tools an Autorisierte wird kontrolliert durch Access Control Lists (ACL). Verschlüsselungstechniken werden eingesetzt, um Benutzerauthentifizierungen und Administrator-Sessions über das Internet abzusicherngeschützt. Der Datenfernzugriff auf Produktionsmaschinen benötigt eine Verbindung zum FirmennetzwerkAuftragnehmer hat die folgenden Maßnahmen im- plementiert, die über eine zweifache Authentifizierung geregelt ist. Google folgt einem formalen Prozessverhindern, um den Zugang zu Google-Ressourcen zu erlauben dass Unbefugte Zugriff auf personenbezogene Daten bekommen: Bei der Einrichtung, der Löschung oder zu verweigern. Verschiedene Zugangsschutzmechanismen helfen dabei, sichere und flexible Zugriffe bereitzustellen. Einmalige Benutzerkennungen, starke Passwörter und periodische Überprüfungen der Zugriffslisten sind vorhanden, um die angemessene Verwendung Änderung von Benutzerkonten zu gewährleisten. Für kritische Systeme werden zudem Einmal- Kennwörter bzw. Einmal-Konten verwendet. Alle GruppenBerechtigungen, die Zugang zu Google Services habenZugriff auf personenbezogene Daten gewähren, unterlaufen einer regelmäßigen Überprüfungwird durch ein Berechtigungskonzept sichergestellt, dass nur die Personen Zugriff auf die per- sonenbezogenen Daten erhalten, die diese für die Erfül- lung ihrer Aufgaben auch benötigen, sog. Alle genannten Maßnahmen sind in einem formalisierten Berechtigungskonzept beschriebenNeed-to- know-Prinzip. Die Autorisierung bei Google Services Vergabe oder der Entzug von Zugriffs- rechten wird jederzeit auf allen Ebenen des jeweiligen Systems erzwungendokumentiert und regelmäßig überprüft. Die Erteilung oder Bearbeitung Durch fachkundiges Vernichten von Zugriffsrechten basiert auf den Job-Verantwortlichkeiten des Benutzers oder auf einer Need-to-know-Basis Akten und muss durch den zuständigen Vorgesetzten des Antragstellers autorisiert Daten- trägern und bewilligt werden. Die Bewilligungen werden über Workflow-Tools durchgeführt. Der ein Verschlüsselungskonzept für Backup- Bänder und -systeme wird sichergestellt, dass kein Un- befugter Zugriff auf Produktivsysteme wird nur geschulten und für die jeweilige Aktion berechtigten Benutzern gewährt. Ebenso wird der Zugriff auf Produktivsysteme im Falle einer Kündigung umgehend entzogen. Die Router sind entsprechend konfiguriert, um Google’s interne Netzwerk Domänen vor unautorisierten externen Verbindungen zu schützen und sicherzustellen, dass Computerverbindungen und Datenflüsse nicht die logische Zugriffsregelung der Google Systeme verletzt. Änderungen an den hardwareseitigen Netzwerkkomponenten oder an deren Konfiguration benötigen die Zustimmung des designierten Verantwortlichen und unterliegen einem Changein Backup-Managementprozess. Google hat ebenso Verschlüsselungsmethodiken, 2-Fach-Authentifizierung, Eingabe- und Session-logging für zentralisierte Serverumgebungen zur Überwachung der Produktivsysteme implementiert. Google hat eine Firewall-Konfigurationsregelung, welche akzeptable Ports definiert, die auf einer Google Firewall genutzt werden dürfen. Nur benötigte Ports und Dienste sind offen. Der Zugriff zum Ändern der Firewall-Konfiguration ist beschränkt auf das interne Sicherheits-Operations-Team. Das Sicherheits-Operations- Team überprüft regelmäßig kritische Firewall-RegelnDateien gespeicher- ten personenbezogenen Daten hat.

Zugangskontrolle. Google ergreift unter anderem die folgenden Maßnahmen um die Nutzung von Datenverarbeitungsanlagen, mit denen Daten verarbeitet werden, durch Unbefugte zu verhindern: Sichere Zugangsverbindungen und Technologien zur Authentifizierungskontrolle sind implementiert, um den Der Zugang zu Google Produktivsysteme Informationswerten ist durch die fachlichen Anforderungen (‚Kenntnis nur soweit nötig‘16) und interne Supportim Einklang mit dem bestehenden Regelungsrahmen der Organisation (einschließlich der Informationssicherheitsstrategie) zu begründen. Es sind eindeutige Regeln für die Zugriffskontrolle auf Basis des Grundsatzes der minimalen Rechtevergabe17 festzulegen, die den Erfordernissen des jeweiligen Geschäftszwecks und der IT-Tools Prozesse genau Rechnung tragen. Soweit relevant (z. B. zur Backup- Verwaltung), müssen die logischen mit den physischen Zugriffskontrollen übereinstimmen, es sei denn, es bestehen angemessene Ausgleichskontrollen (z. B. Verschlüsselung, Anonymisierung personenbezogener Daten). Um die Zuweisung von Rechten zum Zugriff auf Informationssysteme und -dienste der Zahlungstransaktionskette zu reglementierenkontrollieren, müssen formelle, dokumentierte Verfahren umgesetzt werden. Zugriffsrestriktionen stützen sich Diese Verfahren müssen den gesamten Lebenszyklus des Nutzerzugangs abdecken – von der Erstregistrierung neuer Nutzer bis hin zur endgültigen Abmeldung von Nutzern, die keinen Zugang mehr benötigen. Besondere Beachtung erfordert gegebenenfalls die Zuweisung von Zugriffsrechten, die so kritisch sind, dass ihr Missbrauch zu einer schwerwiegenden Beeinträchtigung der betrieblichen Prozesse des Teilnehmers führen kann (z. B. Zugriffsrechte im Zusammenhang mit der Systemadministration, dem Umgehen von Systemkontrollen oder dem direkten Zugriff auf einen von Google entwickelten und verteilten Authentifizierungs-Service basierend auf Secure Socket Layer (SSL) ZertifikatenGeschäftsdaten). Dieser Service bietet zudem VerschlüsselungsmethodenEs sind angemessene Kontrollen einzurichten, um die Datensicherheit bei Nutzer an bestimmten Punkten des Netzwerks der Übertragung Organisation, beispielsweise für den lokalen oder Fernzugang zu Systemen der Zahlungstransaktionskette, zu ermitteln, zu authentifizieren und zu berechtigen. Um die Zurechenbarkeit zu gewährleisten, dürfen persönliche Konten nicht geteilt werden. Der Zugang Passwörter dürfen nicht einfach zu internen Support-Tools an Autorisierte wird kontrolliert erraten sein. Deshalb müssen Regeln (z. B. für die Komplexität und zeitlich begrenzte Gültigkeit der Passwörter) festgelegt und durch Access Control Lists (ACL)spezielle Kontrollen durchgesetzt werden. Verschlüsselungstechniken werden eingesetzt, um Benutzerauthentifizierungen und Administrator-Sessions über das Internet abzusichern. Der Datenfernzugriff auf Produktionsmaschinen benötigt eine Verbindung zum Firmennetzwerk, Es ist ein Protokoll für die über eine zweifache Authentifizierung geregelt ist. Google folgt einem formalen Prozess, um den Zugang zu Google-Ressourcen zu erlauben oder zu verweigern. Verschiedene Zugangsschutzmechanismen helfen dabei, sichere und flexible Zugriffe bereitzustellen. Einmalige Benutzerkennungen, starke Passwörter und periodische Überprüfungen der Zugriffslisten sind vorhanden, um die angemessene Verwendung von Benutzerkonten zu gewährleisten. Für kritische Systeme werden zudem Einmal- Kennwörter Wiederherstellung bzw. Einmal-Konten verwendet. Alle Gruppen, die Zugang Zurücksetzung von Passwörtern zu Google Services haben, unterlaufen einer regelmäßigen Überprüfung. Alle genannten Maßnahmen sind in einem formalisierten Berechtigungskonzept beschrieben. Die Autorisierung bei Google Services wird jederzeit auf allen Ebenen des jeweiligen Systems erzwungen. Die Erteilung oder Bearbeitung von Zugriffsrechten basiert auf den Job-Verantwortlichkeiten des Benutzers oder auf einer Need-to-know-Basis und muss durch den zuständigen Vorgesetzten des Antragstellers autorisiert und bewilligt werden. Die Bewilligungen werden über Workflow-Tools durchgeführt. Der Zugriff auf Produktivsysteme wird nur geschulten und für die jeweilige Aktion berechtigten Benutzern gewährt. Ebenso wird der Zugriff auf Produktivsysteme im Falle einer Kündigung umgehend entzogen. Die Router sind entsprechend konfiguriert, um Google’s interne Netzwerk Domänen vor unautorisierten externen Verbindungen zu schützen und sicherzustellen, dass Computerverbindungen und Datenflüsse nicht die logische Zugriffsregelung der Google Systeme verletzt. Änderungen an den hardwareseitigen Netzwerkkomponenten oder an deren Konfiguration benötigen die Zustimmung des designierten Verantwortlichen und unterliegen einem Change-Managementprozess. Google hat ebenso Verschlüsselungsmethodiken, 2-Fach-Authentifizierung, Eingabe- und Session-logging für zentralisierte Serverumgebungen zur Überwachung der Produktivsysteme implementiert. Google hat eine Firewall-Konfigurationsregelung, welche akzeptable Ports definiert, die auf einer Google Firewall genutzt werden dürfen. Nur benötigte Ports und Dienste sind offen. Der Zugriff zum Ändern der Firewall-Konfiguration ist beschränkt auf das interne Sicherheits-Operations-Team. Das Sicherheits-Operations- Team überprüft regelmäßig kritische Firewall-Regelnerstellen.