Sicherheitsrichtlinie

Sicherheitsrichtlinie

• Drucken

Vorlage für die Sicherheitsimplementierung bei GIC Re

• Die GIC Re Website/Portal/Webanwendung wurde in geschützte Zonen mit der Implementierung von Firewalls, IDS (Intrusion Detection System) und Hochverfügbarkeitslösungen platziert.
• Vor dem Start der GIC Re Website/Portal/Webanwendung wurden simulierte Penetrationstests durchgeführt. Nach dem Start werden Penetrationstests regelmäßig durchgeführt.
• Die GIC Re Website/Portal/Webanwendung wurde vor dem Start auf bekannte Anwendungsschwachstellen geprüft, und alle identifizierten Schwachstellen wurden behoben.
• Die Serverhärtung wurde gemäß den Richtlinien der Cyber Security Division vor dem Start der GIC Re Website/Portal/Webanwendung durchgeführt.
• Der Zugriff auf Webserver, die die GIC Re Website/Portal/Webanwendung hosten, ist sowohl physisch als auch über das Netzwerk eingeschränkt.
• Protokolle werden an verschiedenen Orten geführt, um den autorisierten physischen Zugriff auf die Server der GIC Re Website/Portal/Webanwendung zu protokollieren.
• Die Webserver, die die GIC Re Website/Portal/Webanwendung hosten, sind hinter IDS, IPS (Intrusion Prevention System) und Systemfirewalls konfiguriert.
• Entwicklungsarbeiten werden in einer separaten Entwicklungsumgebung durchgeführt und vor der Bereitstellung auf dem Produktionsserver gründlich auf einem Staging-Server getestet.
• Anwendungen werden nach erfolgreichem Test auf dem Staging-Server über SSH und VPN durch einen einzigen Punkt auf den Produktionsserver hochgeladen.
• Von Remote-Standorten beigesteuerter Inhalt durchläuft einen Authentifizierungsprozess und wird nicht direkt auf dem Produktionsserver veröffentlicht. Der Inhalt wird vor der endgültigen Veröffentlichung moderiert.
• Alle Webseitinhalte werden vor dem endgültigen Upload auf den Webserver auf schadhafter Code überprüft.
• Audit-Protokolle und Systemaktivitätsprotokolle werden geführt und archiviert. Abgelehnte Zugriffe und Dienste werden in Ausnahmeberichten protokolliert und überprüft.
• Das Help Desk-Personal des GIC Re IT Monitoring-Teams überwacht die GIC Re Website/Portal/Webanwendung in Intervallen, um sicherzustellen, dass die Seiten funktionsfähig sind, keine unbefugten Änderungen vorliegen und keine unbefugten Links eingerichtet wurden.
• Systemsoftware-Patches, Fehlerbehebungen und Upgrades werden regelmäßig überprüft und auf den Produktions-Webservern installiert.
• Internet-Browsing, E-Mail und andere Desktop-Anwendungen sind auf den Produktions-Webservern deaktiviert. Nur Server-Administrationsaufgaben sind erlaubt.
• Server-Passwörter werden monatlich geändert und unter den Administratoren geteilt.
• <Administratorname(n) einfügen> sind als Administratoren für die GIC Re Website/Portal/Webanwendung bestimmt und für die Umsetzung dieser Richtlinie sowie die Koordination mit dem Audit-Team verantwortlich.
• Nach größeren Änderungen in der Anwendungsentwicklung wird die GIC Re Website/Portal/Webanwendung erneut auf Anwendungsschwachstellen überprüft.

Compliance-Audit

Die GIC Re Website/Portal/Webanwendung wurde vor dem Start auditiert und erfüllt alle vom Cyber Security Group festgelegten Richtlinien.

Die GIC Re Website/Portal/Webanwendung hat auch eine automatisierte Risikoanalyse durch Software zur Identifizierung von Schwachstellen sowohl vor als auch nach dem Start durchlaufen, wobei alle identifizierten Schwachstellen behoben wurden.