Inhalt:
Sicherheit im Rechenzentrum
Auszüge aus dem Sicherheitshandbuch der Raiffeisen Informatik
Zutrittskonzept
Der physische Zutritt in die Räumlichkeiten bei Raiffeisen Informatik ist strikt geregelt. Zum Einsatz kommt ein Sicherheitszonenkonzept, das auf den unterschiedlichen Schutzbedarf verschiedener Systeme und Einrichtungen Rücksicht nimmt. Zum Überwinden von Zonengrenzen sind in der Regel Zutrittsberechtigungen erforderlich, die in Form kodierter Schlüssel (Token bzw. Dienstausweis-Card) an jeden Mitarbeiter ausgegeben werden. Dieses elektronische Schlüsselsystem wird von der zentralen Stelle aus gemanagt, die auf schriftliche Anforderung berechtigte Schlüssel vergibt und ebenso wieder sperren kann.
(Auszug Sicherheitshandbuch der Raiffeisen Informatik, gekürzt)
Verfügbarkeit
Die Applikationen und Systeme aus dem Bank-, Finanz- und Wirtschaftsbereich haben größtenteils unternehmenskritische Bedeutung für unsere Kunden. Die Gewährleistung der permanenten Verfügbarkeit ohne Kompromisse ist unser tägliches Geschäft.
Die zum Betrieb des Rechenzentrums wichtigsten Geräte sind in Sicherheitszonen verwahrt. Durch Doppelauslegung (Redundanz) systemkritischer Komponenten an verschiedenen Standorten ist der Schutz vor Sicherheitsangriffen gegen die Geräte in einem hohen Maß gegeben. Das gilt auch für die Infrastruktur, die für den Betrieb der Geräte erforderlich ist. Auch Zugänge zum WAN (Wide Area Network) sind doppelt ausgelegt, wodurch auch in diesem Bereich die Verfügbarkeit hoch gehalten wird. (Auszug Sicherheitshandbuch der Raiffeisen Informatik, gekürzt)
Datensicherung & Archivierung
- Durchgängiges Konzept für Host, Server und Clients
- modernste Storage- und Backup-Technologien
- höchste Verfügbarkeit und Integrität der Backup-Systeme und -medien
- Gewährleistung aller vorgegebenen Aufbewahrungsfristen
- Restriktiver Zugriffsschutz auf Archivdaten
- Sichere Entsorgung alter Datenträger
Zugriffspolitik
Die Strategie der Raiffeisen Informatik ist das Prinzip der minimalen Rechte und die Trennung verschiedener Aufgaben/Rollen. Das heißt, bei der Vergabe der Zugriffsberechtigungen ist darauf zu achten, dass nur jene Rechte vergeben werden, die zur Wahrnehmung der jeweiligen Aufgabe erforderlich sind bzw. der Rolle entsprechen ("Need to Know"-Prinzip) sowie dass Aufgaben/Funktionen, die in einer Person/Rolle unvereinbar sind (z.B. Bestellung/Zahlungsfreigabe oder Administration/Revision), sowohl logisch als auch physisch getrennt sind (Vier-Augen-Prinzip). Weiters gilt der Grundsatz "Alles, was nicht ausdrücklich erlaubt ist, ist verboten".
(Auszug Zugriffspolitik der Raiffeisen Informatik, gekürzt)