Diese Übersicht beschreibt die Massnahmen, mit denen die CSP AG die Sicherheit der Personendaten in Oppm gewährleistet (Art. 8 nDSG, Art. 3 DSV, Art. 32 DSGVO). Sie ist Anhang 2 zum Auftragsverarbeitungsvertrag. Zahlen sind, wo vermerkt, Zielwerte.
1. Vertraulichkeit
1.1 Zutritt
- Betrieb in einem Rechenzentrum in der Schweiz; Zutrittskontrolle und Protokollierung durch den Betreiber gemäss dessen Zertifizierung [Zertifizierung ergänzen, z. B. ISO/IEC 27001]
- CSP betreibt keine eigenen Server in Büroräumen; Zutritt zu den Systemen erfolgt ausschliesslich über gesicherte Verwaltungszugänge
1.2 Zugang
- Anmeldung über eine Identity-Plattform mit OpenID Connect, auf Wunsch mit Single Sign-on über das Verzeichnis der Kundin
- Zwei-Faktor-Anmeldung je Mandant verlangbar; neue Konten auf die E-Mail-Domäne der Kundin beschränkbar
- Ohne Identity-Plattform: Passwörter mit mindestens 12 Zeichen aus Buchstaben und Ziffern, gespeichert als scrypt-Hash mit Salz, Vergleich in konstanter Zeit
- Signierte Sitzungs-Cookies, für Skripte nicht lesbar, höchstens zehn Stunden gültig
- Gesperrte Benutzer und pausierte oder deaktivierte Mandanten können sich nicht anmelden
1.3 Zugriff
- Rollen Administration, Portfoliomanagement, Projektleitung und Lesen mit Standardrechten; Anpassung je Mandant in der Rechtematrix
- Jedes Recht wird auf dem Server bei jeder Aktion geprüft, nicht nur in der Oberfläche
- Projektleitende bearbeiten nur eigene Vorhaben; die Rolle Lesen ändert nichts
- Stellvertretungen nur mit Zeitraum und im Protokoll vermerkt
1.4 Trennung
- Jeder Datensatz gehört einem Mandanten. PostgreSQL erzwingt mit Row-Level-Security, dass jede Anfrage nur den eigenen Mandanten sieht
- Die Anwendung arbeitet mit einer eigenen Datenbankrolle ohne Recht, die Trennung zu umgehen
- Getrennte Installationen für Produktion und Demo; die Demo enthält nur erfundene Daten
1.5 Zugriff durch CSP
- Konten von CSP Solutions verwalten Mandanten in einer Konsole und sehen dort Betriebskennzahlen, keine Fachdaten
- Einblick in Daten nur über einen Support-Zugang auf Antrag, den die Administration der Kundin freigibt; nur lesend, standardmässig höchstens acht Stunden, jederzeit widerrufbar
- Jeder Schritt des Support-Zugangs steht im Protokoll der Kundin und der Plattform
2. Integrität
2.1 Weitergabe
- Übertragung ausschliesslich verschlüsselt (TLS), HTTP Strict Transport Security
- Strenge Sicherheits-Header: Content-Security-Policy, keine Einbettung in fremde Seiten, kein Zugriff auf Kamera und Standort
- Zugangsdaten zu Schnittstellen werden nie in der Datenbank gespeichert, sondern in der Betriebsumgebung
2.2 Eingabekontrolle
- Jede Änderung wird mit Person, Zeit, Datensatz und Aktion protokolliert
- Die Einträge bilden je Mandant eine Hash-Kette (SHA-256). Die Prüfung in der Administration zeigt «Kette intakt» oder die Stelle, an der sie verletzt ist
- Unterschriften, Entscheide und Freigaben sind mit Person und Zeitpunkt festgehalten, Erfassungen im Auftrag gekennzeichnet
3. Verfügbarkeit und Belastbarkeit
- Tägliche Sicherung der Datenbank, getrennt von der Produktionsumgebung, in der Schweiz; Aufbewahrung [z. B. 14 tägliche Stände]
- Dokumentiertes Verfahren zur Wiederherstellung; Zielwerte RPO 24 Stunden und RTO 4 Stunden [nach erster Probe bestätigen]
- Automatische Überwachung der Prüfpunkte für Prozess und Datenbank, mindestens alle fünf Minuten, mit Alarm bei Störung
- Dokumentierte Abläufe für Auslieferung und Rückfall auf die vorherige Version
- Kontingent für KI-Anfragen je Benutzer, damit Fehler oder Missbrauch den Betrieb nicht beeinträchtigen
4. KI-Funktionen
- Sprachmodelle und Spracherkennung werden in der Schweiz betrieben
- Übermittelt wird nur, was die jeweilige Funktion braucht; der Kontext der Organisation enthält keine Personendaten
- Das KI-Gateway speichert keine Anfragen und Antworten; Audio wird nicht gespeichert
- Jede Ausgabe ist als Vorschlag gekennzeichnet und wird nur übernommen, wenn eine Person sie prüft und speichert
- Ist die KI nicht erreichbar, meldet Oppm das; es gibt keine simulierten Antworten
- KI je Mandant abschaltbar, Nutzung je Rolle über die Rechtematrix steuerbar
5. Organisatorische Massnahmen
- Mitarbeitende und Beauftragte von CSP sind schriftlich zur Vertraulichkeit verpflichtet
- Zugänge zu den Betriebssystemen nach dem Prinzip der minimalen Rechte, Geheimnisse in einem Passwortmanager
- Unterauftragsverarbeiter vertraglich auf gleichwertige Pflichten verpflichtet, alle mit Standort in der Schweiz
- Behandlung von Störungen und Sicherheitsvorfällen nach dem Service Level, Meldung an die Kundin gemäss AVV
- Schulung der Mitarbeitenden in Informationssicherheit und Datenschutz [Rhythmus ergänzen]
6. Überprüfung
- Automatisierte Tests vor jeder Auslieferung, einschliesslich der Trennung je Mandant
- Regelmässige Aktualisierung von Abhängigkeiten und Laufzeitumgebung
- Überprüfung dieser Massnahmen mindestens jährlich und bei wesentlichen Änderungen
- Externe Sicherheitsprüfung (Penetrationstest) [Datum und Umfang ergänzen]