Sicherheit bei RWS

Zum Beschaffungsprozess von RWS gehört, dass neue Anbieter vor dem Onboarding einer Sicherheitsrisikobewertung unterzogen werden. Den Anbietern wird eine Risikokategorie gemäß einer Reihe von Kriterien zugewiesen, darunter die Kritikalität der zu erbringenden Waren/Dienstleistungen und die Sensibilität der Informationen oder Einrichtungen, auf die sie zugreifen.

Ja, in der Richtlinie der RWS Group für das Dienstleister-Sicherheitsmanagement sind die Sicherheitsanforderungen für Drittanbieter festgelegt.

RWS führt monatliche Schwachstellenscans seiner öffentlichen Infrastruktur durch. Schwachstellen werden gemäß der Globalen Richtlinie für Sicherheitstests bewertet und durch geeignete Abhilfemaßnahmen behoben. Ein Mitglied des Informationssicherheitsteams sitzt im Global IT Change Advisory Board, um die Auswirkungen vorgeschlagener Änderungen auf die Sicherheit zu beurteilen.

Die Richtlinie der RWS Group zum sicheren Softwareentwicklungslebenszyklus legt fest, wie Produkte sicher entwickelt werden müssen. Die Sicherheit ist Bestandteil jedes Entwicklungsschritts, von der Erfassung der Anforderungen über das Design, die Implementierung und die Verifizierung bis hin zur Veröffentlichung. Änderungen werden vor der Veröffentlichung getestet.

Ja, RWS nutzt sowohl das Service Centre als auch ServiceNow, um die Workflows von der Einreichung neuer Support-Tickets über die Zuweisung bis zur Lösung zu verfolgen. Je nach Kritikalität des Vorfalls bzw. der Änderung oder des Problems gelten verschiedene Service-Level-Verträge (SLAs).

Ja. RWS verfügt über eine IT-Sicherheits- und Nutzungsrichtlinie.

RWS speichert Kundendaten nur so lange, wie dies für die Erbringung der Dienstleistungen erforderlich ist, und in jedem Fall wie im Vertrag vereinbart.

Ja, RWS verfügt über ein spezielles SAM-Team (Software and Asset Management) und nutzt ein Asset-Tool namens Lansweeper sowie Flexera im RWS-Netzwerk. Lansweeper erkennt und erfasst automatisch Elemente im RWS-Unternehmensnetzwerk, einschließlich Details wie Eigentümer, Art der Ressource, installierte Software, Garantie und Konfiguration. Allen Ressourcen ist ein Verantwortlicher zugewiesen.

Ja, Patches werden mithilfe einer zentralen Patching-Anwendung automatisch auf Endpunkte angewendet. Patches für Server-Updates werden mindestens einmal jährlich angewendet. In der Regel erfolgt dieses Patching im Rahmen der routinemäßigen monatlichen Wartung. Patches anderer Art (wie SQL, Antivirus) werden bei Bedarf ad-hoc durchgeführt, sollten jedoch vor der Produktion in einem Entwicklungs- oder Staging-System getestet werden, wenn solche Systeme vorhanden sind.

Ja, die Rollen und Verantwortlichkeiten beim Änderungsmanagement werden durch den CAB-Prozess (Change Advisory Board) bestimmt, in den das Management sowie die relevanten Stakeholder einbezogen sind, einschließlich IT und RWS-Systemtestern. Systemänderungen werden vor der Implementierung und/oder Bereitstellung getestet. Notfalländerungen folgen dem gleichen Prozess wie die Standard-Änderungen, wobei sichergestellt wird, dass alle Änderungen protokolliert, aufgezeichnet, getestet, vereinbart und implementiert werden. Die Implementierung von Änderungen liegt in der Verantwortung des Release-Managements, für den zugrundeliegenden Prozess ist jedoch das CAB verantwortlich.

Ja, RWS hat eine Richtlinie für logischen Zugriff, in der die Prozesse zur Verwaltung des logischen Zugriffs festgelegt sind.

Ja, das Risikobewertungsprogramm von RWS untersteht dem RWS-Führungsteam und wird den relevanten Mitarbeitenden mitgeteilt.

Das Sicherheitsrisiko-Managementprogramm von RWS ist in der Richtlinie der RWS Group zum Sicherheitsrisikomanagement dargelegt. Sie beinhaltet die Methodik, die bei der Identifizierung von und beim Umgang mit Sicherheitsrisiken angewendet werden soll, und schließt Folgendes ein: Kennzeichnung von Ressourcen, Auswirkungsanalyse, Risikobewertung, Identifizierung und Anwendung von Kontrollen sowie Überwachung der Wirksamkeit von Kontrollen. Die Risiken werden in regelmäßigen Abständen oder bei wesentlichen Änderungen bewertet, die sich auf die Vertraulichkeit, Integrität oder Verfügbarkeit von RWS-Informationen oder -Ressourcen auswirken könnten. Die Beaufsichtigung und Governance der Risikomanagementprozesse wird vom Security Governance, Risk and Compliance Manager und gegebenenfalls vom Information Security Steering Committee durchgeführt.

Ja, RWS nimmt den Datenschutz sehr ernst. Unsere Datenschutzrichtlinie finden Sie hier: www.rws.com/de/legal/privacy

Ja, Kunden können unsere ISO 27001-Zertifizierung unter www.rws.com/de/security einsehen

Ja, RWS-Software, die von RWS Cloud Operations gehostet wird, fällt unter unseren SOC 2 Typ II-Bericht. Eine Kurzfassung des Berichts ist auf Anfrage erhältlich.

Ja. Der Chief Information Officer ist für das Informationssicherheitsprogramm von RWS verantwortlich, welches das ganze Jahr über auf Führungsebene vom Security Steering Committee verwaltet wird, um sicherzustellen, dass es die Geschäftsziele weiterhin unterstützt.

Ja. Der Chief Information Officer von RWS fungiert als Executive Sponsor für Informationssicherheit. Die Verantwortung für die laufende Verwaltung des Managementsystems für Informationssicherheit von RWS und für die kontinuierliche Einhaltung der Sicherheitsanforderungen unterliegt einem kleinen Team unter der Leitung des Security Governance, Risk and Compliance Managers von RWS.

Ja, die Informationssicherheitsrichtlinie von RWS wird vom Executive Sponsor für Informationssicherheit genehmigt und unterzeichnet und legt die hohen Sicherheitsanforderungen fest, die es RWS ermöglichen, sein Managementsystem für Informationssicherheit aufrechtzuerhalten und kontinuierlich weiterzuentwickeln.

Unsere Richtlinien werden mindestens einmal jährlich überprüft. Interne Dokumente können vom Kunden während eines Audits unter einer Geheimhaltungsvereinbarung (NDA/MNDA) vor Ort oder remote eingesehen werden. 

ISMS-Richtlinie der RWS Group zur Informationssicherheit
Richtlinie der RWS Group zur Informationssicherheit
Richtlinie der RWS Group zum Sicherheitsrisikomanagement (intern)
Richtlinie der RWS Group für Sicherheitstests (intern)
Richtlinie der RWS Group für logischen Zugriff (intern)
Richtlinie der RWS Group zur Geschäftskontinuität (intern)
Richtlinie der RWS Group zur Klassifizierung und Handhabung (intern)
Richtlinie der RWS Group zum Störfallmanagement für Informationssicherheit (intern)
Richtlinie der RWS Group für physische Sicherheit (intern)
Datenschutzrichtlinie der RWS Group (intern)
Richtlinie der RWS Group für IT-Systeme (intern)
Richtlinie der RWS Group für kryptografische Kontrolle (intern)
Richtlinie der RWS Group für das Dienstleister-Sicherheitsmanagement (intern)
Richtlinie der RWS Group zum sicheren Softwareentwicklungslebenszyklus (intern)
ISMS-Nutzungsrichtlinie der RWS Group (intern)
ISMS-Richtlinie der RWS Group für Sicherheitsausnahmen (intern) 

Unsere Richtlinien werden im firmeneigenen Intranet veröffentlicht und stehen allen RWS-Mitarbeitenden zur Verfügung. Die RWS-Mitarbeitenden werden im Zuge obligatorischer Kampagnen und Schulungen zu Informationssicherheit und Datenschutzbewusstsein regelmäßig über die Richtlinien informiert.

Ja

Ja. RWS verfügt über eine Richtlinie und einen Prozess für Sicherheitsausnahmen.

Ja, jede Nichteinhaltung unserer Informationssicherheitsrichtlinien wird vom globalen Informationssicherheitsteam geprüft und untersucht und anschließend an das Management und die zuständige Personalabteilung weitergeleitet, die bei Bedarf weitere Untersuchungen einleiten und die nötigen Maßnahmen ergreifen. Sanktionen hängen von der Schwere des Vorfalls ab und können Disziplinarmaßnahmen bis hin zur Entlassung umfassen.

Die Rechtsabteilung von RWS überwacht relevante gesetzliche und behördliche Vorschriften, die für RWS gelten. Gesetzliche Vorschriften zur Informationssicherheit werden zwischen dem Leiter der Rechtsabteilung und dem globalen Leiter der Informationssicherheit besprochen, und bei Bedarf werden Änderungen am Sicherheitsprogramm vorgenommen.

Alle derartigen rechtmäßigen Anfragen werden von unserer Rechtsabteilung bearbeitet, unter Berücksichtigung aller vertraglichen Verpflichtungen und gesetzlichen Vorschriften.

Ja, die Richtlinie der RWS Group zum Störfallmanagement für Informationssicherheit wurde veröffentlicht und ist für alle Mitarbeitenden im RWS-Intranet zugänglich. Sie umfasst unter anderem: Überwachung und Vorbereitung, Identifizierung, Eindämmung, Abhilfemaßnahmen, Wiederherstellung und Nachverfolgung.

Ja, die Richtlinie der RWS Group zum Störfallmanagement für Informationssicherheit wurde veröffentlicht und ist für alle Mitarbeitenden im RWS-Intranet zugänglich. Sie umfasst unter anderem: Überwachung und Vorbereitung, Identifizierung, Eindämmung, Abhilfemaßnahmen, Wiederherstellung und Nachverfolgung.

Ja, der Netzwerkanbieter von RWS überwacht den Datenverkehr und gibt bei anomalen Aktivitäten Warnmeldungen aus. RWS nutzt IDS/IPS in wichtigen Bereichen des Netzwerks, um jeden unbefugten Zugriff zu erkennen und zu verhindern. Endpunkte verfügen über eine geeignete Präventions-/Erkennungssoftware.

Ja. Schulungen zum Thema Informationssicherheit sind ein grundlegender Bestandteil des Einarbeitungsprozesses für RWS-Mitarbeitende, Auftragnehmer und Freiberufler:innen. Anschließend erhalten alle Mitarbeitenden jährlich computergestützte Schulungen zur Informationssicherheit in einem speziellen Lernmodul. Darüber hinaus werden die Mitarbeitenden im Rahmen der jährlichen Schulung zum Verhaltenskodex und durch unsere häufigen „Think Security“-Kampagnen zum Thema Informationssicherheit laufend weiter geschult.

Ja. Alle Neueinsteiger:innen werden einer Identitäts- und „Recht auf Arbeit“-Prüfung unterzogen. Soweit dies aufgrund ihrer Rolle im Unternehmen oder ihrer nationalen Verpflichtungen erforderlich ist, können weitere Hintergrundprüfungen in Übereinstimmung mit geltenden Gesetzen durchgeführt werden.

Die Freiberufler:innen von RWS werden standardmäßig keiner Hintergrundprüfung unterzogen. Wir schließen jedoch einen Dienstleistervertrag mit unseren Freiberufler:innen ab, der Mindestsicherheitsmaßnahmen umfasst. Darüber hinaus können Kunden Vertraulichkeitsvereinbarungen und eine Hintergrundprüfung von Freiberufler:innen unter Vorbehalt der vor Ort geltenden Gesetze verlangen.

Ja, alle Neueinsteiger:innen müssen eine obligatorische Schulung zum Thema Informationssicherheit und eine Schulung zum Verhaltenskodex absolvieren, die ebenfalls Sicherheitselemente umfasst. Bei der Kündigung werden die Mitarbeitenden an ihre sicherheitsbezogenen Verpflichtungen nach Beendigung des Beschäftigungsverhältnisses erinnert. Sämtliches Unternehmenseigentum wird eingezogen, und Konten werden ausgesetzt, bis sie geprüft und gelöscht werden.

Ja, die Richtlinie der RWS Group zur Klassifizierung und Handhabung deckt die Bereiche Datenvernichtung und Medienbereinigung ab. Spezifische Prozesse zur Umsetzung der Richtlinie werden von den Verantwortlichen für die jeweilige Technologie überwacht und gepflegt.