Wo stehen Sie?

Gibt es eine schriftliche, von der Geschäftsführung freigegebene Richtlinie zur Informationssicherheit?

Ist eine Person für Informationssicherheit benannt – intern oder extern – mit Zeit und Befugnissen?

Ist geklärt, welche Standorte, Prozesse und Kundendaten das Label abdecken soll?

Gibt es ein aktuelles Verzeichnis Ihrer IT-Systeme, Daten und IT-Dienstleister?

Wurden Risiken für Informationen mit hohem Schutzbedarf bewertet und Maßnahmen festgelegt?

Werden alle Mitarbeitenden beim Eintritt und mindestens jährlich zur Informationssicherheit geschult – mit Nachweis?

Gibt es Vertraulichkeitsvereinbarungen mit Mitarbeitenden und externen Partnern?

Werden Zugänge beim Austritt am selben Tag entzogen – und lässt sich das belegen?

Ist die Mehr-Faktor-Anmeldung für E-Mail, Fernzugriff und Admin-Konten eingeschaltet?

Werden Berechtigungen regelmäßig überprüft und nicht mehr benötigte entfernt?

Werden Sicherheitsupdates nach festen Fristen eingespielt und dokumentiert?

Gibt es Backups, deren Wiederherstellung regelmäßig getestet wird?

Ist festgelegt, was bei einem Sicherheitsvorfall passiert und wer informiert werden muss?

Werden IT-Dienstleister und Cloud-Anbieter nach Sicherheitskriterien ausgewählt und bewertet?

Sind Bereiche mit sensiblen Informationen, etwa Zeichnungen oder Prototypen, gegen unbefugten Zutritt geschützt?