Inhaltsinventar für das Trust Center
Haken Sie die Dokumente ab, die Sie bereits haben, prüfen Sie die Stufe und geben Sie dann jedem Dokument eine namentlich benannte verantwortliche Person und ein Prüfdatum. Die Zähler an der Seite aktualisieren sich beim Ausfüllen, sodass Sie sehen, was fehlt, bevor der nächste Abschluss hängen bleibt. Füllen Sie die Tabelle mit Ihren Compliance-Verantwortlichen in einer Sitzung aus.
Die vier Stufen
- Offen. Veröffentlicht auf einer Seite, die jeder lesen und Suchmaschinen indexieren können. Für alles, was Sie einem Interessenten im ersten Gespräch sagen würden.
- Nach Identifikation. Freigegeben, nachdem der Anfragende Name, geschäftliche E-Mail-Adresse und Organisation angegeben hat. Jeder Download wird ins Zugriffsprotokoll geschrieben.
- Nach Geheimhaltungsvereinbarung. Nur freigegeben, nachdem eine gegenseitige Geheimhaltungsvereinbarung elektronisch im selben Ablauf unterschrieben wurde. Die Unterschrift wird mit dem Zugriffsprotokoll gespeichert.
- Nie versenden. Bleibt intern. Wenn ein Kunde darauf besteht, bieten Sie statt einer Datei ein Gespräch oder eine Bildschirmfreigabe mit dem Verantwortlichen an.
So füllen Sie die Spalten aus
- Vorhanden ist abgehakt, wenn das Dokument heute in einer Fassung existiert, die Sie einem Kunden aushändigen würden.
- Stufe ist mit unserer empfohlenen Stufe vorbelegt. Stufen Sie ein Dokument höher ein, wenn Ihre Rechtsabteilung das verlangt, nie niedriger, ohne sie zu fragen.
- Versionsverantwortung liegt bei einer namentlich benannten Person, nicht bei einem Team. Sie ersetzt die Datei, wenn sie sich ändert, und sonst niemand.
- Prüfdatum ist das Datum, an dem das Dokument als Nächstes geprüft werden muss, meist der Ablauf des Zertifikats, der Jahrestag des letzten Tests oder die nächste Änderung bei den Unterauftragsverarbeitern. Schreiben Sie ein Datum, keinen Rhythmus.
Füllen Sie es unten aus. Ihr Ergebnis aktualisiert sich laufend.
Inventar
Eine Zeile pro Dokument, das Enterprise-Kunden in der Sicherheitsprüfung anfordern. Die Stufe ist mit unserer Empfehlung vorbelegt. Nutzen Sie die leeren Zeilen für alles, was Kunden bei Ihnen anfordern und hier nicht aufgeführt ist.
| Dokument | Vorhanden | Stufe | Versionsverantwortung | Prüfdatum | |
|---|---|---|---|---|---|
| Sicherheitsüberblick, eine Seite, wie Sie Sicherheit angehen, in verständlicher Sprache | |||||
| Vorhandene Zertifizierungen und Testate, mit Geltungsbereich und Zertifizierungsstelle | |||||
| Liste der Unterauftragsverarbeiter | |||||
| Hosting-Regionen und Erklärung zum Speicherort der Daten | |||||
| Zusage zur Benachrichtigung bei Vorfällen (was Sie Kunden mitteilen und innerhalb welcher Frist) | |||||
| Richtlinie zur Meldung von Schwachstellen | |||||
| Systemstatus und Verfügbarkeitshistorie | |||||
| Datenschutzhinweise und Datenschutzerklärung | |||||
| Auftragsverarbeitungsvertrag, Vorlage | |||||
| Zertifikat für das Informationssicherheits-Managementsystem, aktuelle Fassung | |||||
| Ausgefüllter Standard-Sicherheitsfragebogen | |||||
| Nachweis der Cyberversicherung | |||||
| Zusammenfassung zu Verschlüsselung und Schlüsselverwaltung | |||||
| Zusammenfassung zu Zugriffskontrolle und Authentifizierung | |||||
| Zusammenfassung zu Backup, Aufbewahrung und Löschung | |||||
| Zusammenfassung zu Business Continuity und Disaster Recovery | |||||
| Zusammenfassung des Penetrationstests (Umfang, Methode, Feststellungen nach Schweregrad, Stand der Behebung) | |||||
| Auditbericht mit Testat, vollständige Fassung | |||||
| Architektur- und Datenflussdiagramme | |||||
| Zusammenfassung der Risikobewertung | |||||
| Feststellungen interner Audits und Behebungsprotokoll | |||||
| Business-Continuity-Plan, vollständige Fassung | |||||
| Penetrationstestbericht, vollständig, mit Exploit-Details | |||||
| Rohdaten von Schwachstellenscans | |||||
| Netzwerkdiagramme mit Adressen und Hostnamen | |||||
| Interne Sicherheitsrichtlinien im Volltext | |||||
| Berechtigungsmatrizen und Mitarbeiterlisten | |||||
| Vorfallberichte, die andere Kunden nennen | |||||
Was die Zähler bedeuten. Jedes Dokument ohne verantwortliche Person ist eines, dem der Vertrieb beim nächsten Enterprise-Abschluss per E-Mail hinterherläuft. Jedes Dokument, das Sie heute als Anhang versenden und das die Tabelle bei „Nach Geheimhaltungsvereinbarung“ oder „Nie versenden“ einordnet, ist eine Datei, die Sie nicht zurückrufen können. Ein leeres Prüfdatum neben einem Dokument mit Ablaufdatum ist eine Korrektur, die bei der Verlängerung auf Sie wartet.
Regeln, die zur Tabelle gehören
Haken Sie jede Regel ab, sobald sie vereinbart und schriftlich festgehalten ist, nicht sobald sie beabsichtigt ist.
Der Aufbau eines Trust Centers mit festem Umfang, angefangen bei den Dokumenten aus diesem Inventar.
Die kleinste Variante umfasst die offene Stufe, Identität vor Zugriff und Links mit Ablaufdatum, zu einem Preis, der vor dem Start feststeht.
Den richtigen KI-Einstieg finden.
Business Case, Governance und erste Umsetzung abstimmen – ohne direkt ein Großprogramm zu starten.