# Inhaltsinventar für das Trust Center

Haken Sie die Dokumente ab, die Sie bereits haben, prüfen Sie die Stufe und geben Sie dann jedem Dokument eine namentlich benannte verantwortliche Person und ein Prüfdatum. Die Zähler an der Seite aktualisieren sich beim Ausfüllen, sodass Sie sehen, was fehlt, bevor der nächste Abschluss hängen bleibt. Füllen Sie die Tabelle mit Ihren Compliance-Verantwortlichen in einer Sitzung aus.

## Die vier Stufen

- **Offen.** Veröffentlicht auf einer Seite, die jeder lesen und Suchmaschinen indexieren können. Für alles, was Sie einem Interessenten im ersten Gespräch sagen würden.
- **Nach Identifikation.** Freigegeben, nachdem der Anfragende Name, geschäftliche E-Mail-Adresse und Organisation angegeben hat. Jeder Download wird ins Zugriffsprotokoll geschrieben.
- **Nach Geheimhaltungsvereinbarung.** Nur freigegeben, nachdem eine gegenseitige Geheimhaltungsvereinbarung elektronisch im selben Ablauf unterschrieben wurde. Die Unterschrift wird mit dem Zugriffsprotokoll gespeichert.
- **Nie versenden.** Bleibt intern. Wenn ein Kunde darauf besteht, bieten Sie statt einer Datei ein Gespräch oder eine Bildschirmfreigabe mit dem Verantwortlichen an.

## So füllen Sie die Spalten aus

- **Vorhanden** ist abgehakt, wenn das Dokument heute in einer Fassung existiert, die Sie einem Kunden aushändigen würden.
- **Stufe** ist mit unserer empfohlenen Stufe vorbelegt. Stufen Sie ein Dokument höher ein, wenn Ihre Rechtsabteilung das verlangt, nie niedriger, ohne sie zu fragen.
- **Versionsverantwortung** liegt bei einer namentlich benannten Person, nicht bei einem Team. Sie ersetzt die Datei, wenn sie sich ändert, und sonst niemand.
- **Prüfdatum** ist das Datum, an dem das Dokument als Nächstes geprüft werden muss, meist der Ablauf des Zertifikats, der Jahrestag des letzten Tests oder die nächste Änderung bei den Unterauftragsverarbeitern. Schreiben Sie ein Datum, keinen Rhythmus.

## Inventar

Eine Zeile pro Dokument, das Enterprise-Kunden in der Sicherheitsprüfung anfordern. Die Stufe ist mit unserer Empfehlung vorbelegt. Nutzen Sie die leeren Zeilen für alles, was Kunden bei Ihnen anfordern und hier nicht aufgeführt ist.

| Dokument | Vorhanden | Stufe | Versionsverantwortung | Prüfdatum |
|---|---|---|---|---|
| Sicherheitsüberblick, eine Seite, wie Sie Sicherheit angehen, in verständlicher Sprache | [ ] | Offen |  |  |
| Vorhandene Zertifizierungen und Testate, mit Geltungsbereich und Zertifizierungsstelle | [ ] | Offen |  |  |
| Liste der Unterauftragsverarbeiter | [ ] | Offen |  |  |
| Hosting-Regionen und Erklärung zum Speicherort der Daten | [ ] | Offen |  |  |
| Zusage zur Benachrichtigung bei Vorfällen (was Sie Kunden mitteilen und innerhalb welcher Frist) | [ ] | Offen |  |  |
| Richtlinie zur Meldung von Schwachstellen | [ ] | Offen |  |  |
| Systemstatus und Verfügbarkeitshistorie | [ ] | Offen |  |  |
| Datenschutzhinweise und Datenschutzerklärung | [ ] | Offen |  |  |
| Auftragsverarbeitungsvertrag, Vorlage | [ ] | Nach Identifikation |  |  |
| Zertifikat für das Informationssicherheits-Managementsystem, aktuelle Fassung | [ ] | Nach Identifikation |  |  |
| Ausgefüllter Standard-Sicherheitsfragebogen | [ ] | Nach Identifikation |  |  |
| Nachweis der Cyberversicherung | [ ] | Nach Identifikation |  |  |
| Zusammenfassung zu Verschlüsselung und Schlüsselverwaltung | [ ] | Nach Identifikation |  |  |
| Zusammenfassung zu Zugriffskontrolle und Authentifizierung | [ ] | Nach Identifikation |  |  |
| Zusammenfassung zu Backup, Aufbewahrung und Löschung | [ ] | Nach Identifikation |  |  |
| Zusammenfassung zu Business Continuity und Disaster Recovery | [ ] | Nach Identifikation |  |  |
| Zusammenfassung des Penetrationstests (Umfang, Methode, Feststellungen nach Schweregrad, Stand der Behebung) | [ ] | Nach Geheimhaltungsvereinbarung |  |  |
| Auditbericht mit Testat, vollständige Fassung | [ ] | Nach Geheimhaltungsvereinbarung |  |  |
| Architektur- und Datenflussdiagramme | [ ] | Nach Geheimhaltungsvereinbarung |  |  |
| Zusammenfassung der Risikobewertung | [ ] | Nach Geheimhaltungsvereinbarung |  |  |
| Feststellungen interner Audits und Behebungsprotokoll | [ ] | Nach Geheimhaltungsvereinbarung |  |  |
| Business-Continuity-Plan, vollständige Fassung | [ ] | Nach Geheimhaltungsvereinbarung |  |  |
| Penetrationstestbericht, vollständig, mit Exploit-Details | [ ] | Nie versenden |  |  |
| Rohdaten von Schwachstellenscans | [ ] | Nie versenden |  |  |
| Netzwerkdiagramme mit Adressen und Hostnamen | [ ] | Nie versenden |  |  |
| Interne Sicherheitsrichtlinien im Volltext | [ ] | Nie versenden |  |  |
| Berechtigungsmatrizen und Mitarbeiterlisten | [ ] | Nie versenden |  |  |
| Vorfallberichte, die andere Kunden nennen | [ ] | Nie versenden |  |  |
|  | [ ] |  |  |  |
|  | [ ] |  |  |  |
|  | [ ] |  |  |  |
|  | [ ] |  |  |  |
|  | [ ] |  |  |  |

**Was die Zähler bedeuten.** Jedes Dokument ohne verantwortliche Person ist eines, dem der Vertrieb beim nächsten Enterprise-Abschluss per E-Mail hinterherläuft. Jedes Dokument, das Sie heute als Anhang versenden und das die Tabelle bei „Nach Geheimhaltungsvereinbarung“ oder „Nie versenden“ einordnet, ist eine Datei, die Sie nicht zurückrufen können. Ein leeres Prüfdatum neben einem Dokument mit Ablaufdatum ist eine Korrektur, die bei der Verlängerung auf Sie wartet.

## Regeln, die zur Tabelle gehören

Haken Sie jede Regel ab, sobald sie vereinbart und schriftlich festgehalten ist, nicht sobald sie beabsichtigt ist.

- [ ] Jedes geschützte Dokument wird über einen Link mit Ablaufdatum ausgeliefert, der pro Anfrage erzeugt wird, nie als Anhang.
- [ ] Identität vor Zugriff. Kein geschütztes Dokument verlässt das Haus ohne Namen, Organisation und Zeitpunkt im Zugriffsprotokoll.
- [ ] Die Geheimhaltungsvereinbarung wird im selben Ablauf wie die Anfrage unterschrieben, bevor sich die sensible Stufe öffnet.
- [ ] Eine verantwortliche Person pro Dokument. Wenn zwei Personen glauben, sie seien zuständig, ist es niemand.
- [ ] Ist ein Prüfdatum überschritten, wird das Dokument aus dem Trust Center genommen, bis der Verantwortliche es bestätigt oder ersetzt.
- [ ] Das Zugriffsprotokoll besteht aus personenbezogenen Daten. Stimmen Sie mit Ihrem Datenschutzbeauftragten ab, was gespeichert wird, wie lange und warum, bevor die erste Anfrage eingeht.

Nehmen Sie zwei Listen mit zu Ihren Compliance-Verantwortlichen: die Dokumente, die nicht als vorhanden abgehakt sind, und die Dokumente ohne verantwortliche Person. Jedes davon ist ein Dokument, dem der Vertrieb beim nächsten Enterprise-Abschluss per E-Mail hinterherläuft.