1. No category

Uafhængig revisors erklæring med sikkerhed om
beskrivelsen af kontroller, deres udformning og
funktionalitet i forbindelse med hostingydelse i
perioden 1. maj til 30. november 2013
ISAE 3402, type II
any.cloud A/S
REVI-IT A/S
any.cloud A/S
Indholdsfortegnelse
Afsnit 1 – any.cloud A/S’ ledelseserklæring
Afsnit 2 – any.cloud A/S’ beskrivelse af hostingydelse og interne kontroller
Afsnit 3 – Uafhængig revisors erklæring om beskrivelsen af kontroller, deres udformning og funktionalitet
Afsnit 4 – Bilag: Kontrolmål, udførte kontroller, tests og resultater heraf
REVI-IT A/S
Side 2 af 56
any.cloud A/S
(Afsnit 2)
any.cloud A/S’ beskrivelse af hostingydelse samt interne kontroller
REVI-IT A/S
Side 5 af 56
any.cloud A/S
REVI-IT A/S
Side 6 af 56
any.cloud A/S
•
•
•
•
•
•
•
•
•
•
•
REVI-IT A/S
Side 7 af 56
any.cloud A/S
REVI-IT A/S
Side 8 af 56
any.cloud A/S
REVI-IT A/S
Side 9 af 56
any.cloud A/S
REVI-IT A/S
Side 10 af 56
any.cloud A/S
REVI-IT A/S
Side 11 af 56
any.cloud A/S
•
•
•
•
•
•
REVI-IT A/S
Side 12 af 56
any.cloud A/S
REVI-IT A/S
Side 13 af 56
any.cloud A/S
REVI-IT A/S
Side 14 af 56
any.cloud A/S
REVI-IT A/S
Side 15 af 56
any.cloud A/S
REVI-IT A/S
Side 16 af 56
any.cloud A/S
REVI-IT A/S
Side 17 af 56
any.cloud A/S
REVI-IT A/S
Side 18 af 56
any.cloud A/S
REVI-IT A/S
Side 19 af 56
any.cloud A/S
REVI-IT A/S
Side 20 af 56
any.cloud A/S
•
•
•
•
•
REVI-IT A/S
Side 21 af 56
any.cloud A/S
(Afsnt 3)
Uafhængig revisors erklæring om beskrivelsen af kontroller, deres udformning
og funktionalitet
Til ledelsen hos any.cloud A/S, any.cloud A/S’ kunder og deres revisorer.
Omfang
Vi har fået til opgave at afgive erklæring om any.cloud A/S’ beskrivelse, som er
gengivet i afsnit 2. Beskrivelsen, som i afsnit 1 er bekræftet af any.cloud A/S’ ledelse, dækker virksomhedens hostingydelser i perioden 1. maj til 30. november 2013
samt udformningen og funktionaliteten af de kontroller der knytter sig til de kontrolmål, som er anført i beskrivelsen.
any.cloud A/S’ beskrivelse (afsnit 2) indeholder en række forhold som virksomheden skal leve op til jf. virksomhedens medlemskab af BFIH (Brancheforeningen for
IT-hostingvirksomheder i Danmark). Vores revision har omfattet disse forhold, og
består udover de fysiske forhold, herunder server hardware, LAN, WAN og
firewalls, af:
•
•
hvorvidt any.cloud A/S implementerer kritiske sikkerhedsopdateringer inden for 2 måneder fra frigivelse, og
hvorvidt any.cloud A/S kan retablere enheder i datacenter inden for 3 dage.
any.cloud A/S’ ansvar
any.cloud A/S er ansvarlig for udarbejdelsen af beskrivelsen (afsnit 2) og tilhørende
udsagn (afsnit 1), herunder fuldstændigheden, nøjagtigheden og måden, hvorpå
beskrivelsen og udsagnet er præsenteret. any.cloud A/S er herudover ansvarlig, for
leveringen af de ydelser, beskrivelsen omfatter, for at anføre kontrolmål og for udformningen, implementeringen og effektiviteten af fungerende kontroller for at
nå de anførte kontrolmål.
REVI-IT A/S’ ansvar
Vores ansvar er på grundlag af vores handlinger at udtrykke en konklusion om
any.cloud A/S’ beskrivelse (afsnit 2) og om udformningen og funktionaliteten af de
kontroller, der knytter sig til de kontrolmål, der er anført i denne beskrivelse. Vi har
udført vores arbejde i overensstemmelse med ISAE 3402, ”Erklæringer med sikkerhed om kontroller hos en serviceleverandør”, som er udstedt af IAASB. Denne
standard kræver, at vi overholder etiske krav samt planlægger og udfører vores
handlinger for at opnå en høj grad af sikkerhed for, at beskrivelsen i alle væsentlige henseender er retvisende, og at kontrollerne i alle væsentlige henseender er
hensigtsmæssigt udformet og fungerer effektivt.
Opgaven med afgivelse af en erklæring med sikkerhed om beskrivelsen, udformningen og funktionaliteten af kontroller hos en serviceleverandør omfatter udførelse af handlinger for at opnå bevis for oplysningerne i serviceleverandørens beskrivelse af sit system og for kontrollernes udformning og funktionalitet. De valgte handlinger afhænger af serviceleverandørens revisors vurdering, herunder vur-
REVI-IT A/S
Side 22 af 56
any.cloud A/S
deringen af risiciene for, at beskrivelsen ikke er retvisende, og at kontrollerne ikke
er hensigtsmæssigt udformet eller ikke fungerer effektivt. Vores handlinger har
omfattet test af funktionaliteten af sådanne kontroller, som vi anser for nødvendige for at give en høj grad af sikkerhed for, at de kontrolmål, der er anført i beskrivelsen, blev nået. En erklæringsopgave med sikkerhed af denne type omfatter
endvidere en vurdering af den samlede præsentation af beskrivelsen, hensigtsmæssigheden af de heri anførte mål samt hensigtsmæssigheden af de kriterier,
som serviceleverandøren har specificeret og beskrevet i afsnit 2..
Det er vores opfattelse, at det opnåede bevis er tilstrækkeligt og egnet til at danne
grundlag for vores konklusion.
Begrænsninger i kontroller hos en serviceleverandør
any.cloud A/S’ beskrivelse i afsnit 2 er udarbejdet for at opfylde de almindelige behov hos en bred kreds af kunder og deres revisorer og omfatter derfor ikke nødvendigvis alle de aspekter ved systemet, som hver enkelt kunde måtte anse for
vigtige efter sine særlige forhold. Endvidere vil kontroller hos en serviceleverandør
som følge af deres art muligvis ikke forhindre eller afdække alle fejl eller udeladelser ved behandlingen eller rapporteringen af transaktioner. Herudover er fremskrivningen af enhver vurdering af funktionaliteten til fremtidige perioder undergivet risikoen for, at kontroller hos en serviceleverandør kan blive utilstrækkelige
eller svigte.
Konklusion
Vores konklusion er udformet på grundlag af de forhold, der er redegjort for i denne erklæring. Kriterierne, vi har anvendt ved udformningen af konklusionen, er de
kriterier, der er beskrevet i any.cloud A/S’ udsagn i afsnit 2 og det er på den baggrund vores vurdering,
(a) at beskrivelsen af hostingydelsen, således som det var udformet og implementeret i hele perioden 1. maj til 30. november 2013, i alle væsentlige henseender er retvisende, og
(b) at kontrollerne, som knytter sig til de kontrolmål, der er anført i beskrivelsen, i
alle væsentlige henseender var hensigtsmæssigt udformet i hele perioden fra
1. maj til 30. november 2013, og
(c) at kontrollerne for de særlige krav, som er foranlediget af virksomhedens medlemskab af BFIH jf. beskrivelsen i kapitel 2, var hensigtsmæssigt udformet i hele perioden fra , og
(d) at de testede kontroller, som var de kontroller, der var nødvendige for at give
en høj grad af sikkerhed for, at kontrolmålene i beskrivelsen blev nået i alle
væsentlige henseender, har fungeret effektivt i hele perioden 1. maj til 30. november 2013.
(e)
Beskrivelse af test af kontroller
De specifikke kontroller, der er testet, samt arten, den tidsmæssige placering og
resultater af disse tester fremgår i det efterfølgende hovedafsnit (afsnit 4).
Tiltænkte brugere og formål
Denne erklæring er udelukkende tiltænkt kunder, der har anvendt any.cloud A/S’
hostingydelse, og disses revisorer, som har en tilstrækkelig kompetence til at vur-
REVI-IT A/S
Side 23 af 56
any.cloud A/S
dere den medfølgende beskrivelse sammen med anden information, herunder information om kunders egne kontroller. Denne information tjener til opnåelse af
en forståelse af kundernes informationssystemer, som er relevante for regnskabsaflæggelsen.
København, 30. december 2013
REVI-IT A/S
Statsautoriseret revisionsaktieselskab
Henrik Paaske
Statsautoriseret revisor
REVI-IT A/S
Martin Brogaard Nielsen
It-revisor, CISA, adm. direktør
Side 24 af 56
any.cloud A/S
(Afsnit 4)
Kontrolmål, udførte kontroller, test og resultater heraf
Den følgende oversigt er udformet for at skabe en forståelse for effektiviteten af
de kontroller, som any.cloud A/S har implementeret. Vores test af funktionaliteten
har omfattet de kontroller, som vi har vurderet nødvendige for at kunne opnå en
høj grad af sikkerhed for, at de anførte kontrolmål har været opnået i perioden 1.
maj til 30. november 2013.
Vi har således ikke nødvendigvis testet alle de kontroller, som any.cloud A/S har
nævnt i sin beskrivelse i afsnit 2.
Kontroller, udført hos any.cloud A/S’ kunder, er herudover ikke omfattet af vores
erklæring idet kundernes egne revisorer må foretage denne gennemgang og vurdering.
Vi har udført vores tests af kontroller hos any.cloud A/S via følgende handlinger:
Metode
Forespørgsel
Observation
Inspektion
Genudførsel
af kontrol
Overordnet beskrivelse
Interview, altså forespørgsel, af udvalgt personale hos
virksomheden omkring kontroller
Observation af hvordan kontroller udføres
Gennemgang og stillingtagen til politikker, procedurer
og dokumentation vedrørende kontrollers udførsel.
Vi har selv – eller observeret – en genudførsel af kontroller med henblik på at verificere, at kontrollen fungerer som forventet.
Beskrivelse og resultat af vores tests ud fra de testede kontroller fremgår af de efterfølgende skemaer. I det omfang vi har konstateret væsentlige svagheder i kontrolmiljøet eller afvigelser her fra, har vi anført dette.
REVI-IT A/S
Side 25 af 56
any.cloud A/S
Risikovurdering og -håndtering
Overordnet kontrolmål: Sikring af Implementering, og løbende vedligeholdelse af ledelsesgodkendte retningslinjer for informationssikkerhed i forhold til forretningsstrategien - og i forhold til relevant lovgivning.
Risikovurdering
Nr.
Kontrolmål
01
It-risikoanalyse
Formålet med kontrollen er
at sikre, at virksomheden
periodisk fortager en analyse
og vurdering af itrisikobilledet.
Håndtering af sikkerhedsrisici
02
Procedure for risikohåndtering
Formålet med kontrollen er
at sikre, at Virksomheden har
udarbejdet faste procedurer
for behandling af risici.
any.cloud A/S’ kontrolforanstaltning
Vi har procedurer for løbende risikovurdering af
vores forretning og specielt vores Cloud tjenester.
Dermed kan vi sikre, at de risici, som er forbundet
med de services og ydelser, vi stiller til rådighed, er
minimeret til et acceptabelt niveau.
REVI-IT’s test
Vi har forespurgt til vurdering af risici i any.cloud
A/S
Risikovurdering foretages periodisk samt når vi
foretager ændringer eller implementerer nye systemer, som vi vurderer at have relevante til at
revurdere vores generelle risikovurdering.
Ansvaret for risikovurderinger er hos virksomhedens CTO og skal efterfølgende forankres og godkendes hos ledelsen.
Vi har forespurgt til kontroller for periodisk revurdering af risici.
Resultat af test
Ingen væsentlige afvigelser
konstateret.
Ingen væsentlige afvigelser
konstateret.
Overordnet kontrolmål: Sikring af Implementering, og løbende vedligeholdelse af ledelsesgodkendte retningslinjer for informationssikkerhed i forhold til forretningsstrategien - og i forhold til relevant lovgivning.
REVI-IT A/S
any.cloud A/S’ kontrolforanstaltning
Sikkerhedspolitikken er udarbejdet efter
any.cloud’s ISO certificering og revideres årligt af
REVI-IT.
4.1
Vi har inspiceret den udarbejdede risikovurdering.
Sikkerhedspolitik
It-sikkerhedspolitik
Nr.
Kontrolmål
01
It-sikkerhedspolitik
Formålet med kontrollen er
at sikre, at Virksomheden har
udarbejdet en ledelsesgodkendt it-sikkerhedspolitik.
ISO
27002
4
REVI-IT’s test
Vi har forespurgt til udarbejdelse af itsikkerhedspolitik.
Vi har inspiceret den udarbejdede itsikkerhedspolitik.
Resultat af test
It-sikkerhedspolitikken er
ikke opbygget i forhold til
ISO 27002.
4.2
ISO
27002
5
5.1.1
Side 26 af 56
any.cloud A/S
02
Evaluering af i-tsikkerhedspolitikken
Formålet med kontrollen er
at sikre, at Virksomheden
vedligeholder itsikkerhedspolitikken, samt
sikre, at sikkerhedspolitikken
publiceres til og er tilgængelig for relevante interessenter.
Sikkerhedspolitikken er udarbejdet efter
any.cloud’s ISO certificering og revideres årligt af
REVI-IT.
Vi har forespurgt til procedure for periodisk
gennemgang af it-sikkerhedspolitikken.
Ingen væsentlige afvigelser
konstateret.
Organisering af informationssikkerhed
Overordnet kontrolmål: Håndtering og styring af informationssikkerhed i organisationen, samt opretholde sikkerheden i informationsbehandlingsfaciliteterne, som bliver
tilgået, behandlet eller styret af eksterne parter.
Intern organisering
Nr.
Kontrolmål
01
Ledelsens forpligtelse til
informationssikkerhed
Formålet med kontrollen er
at sikre, at ledelsen aktivt
understøtter sikkerheden i
virksomheden ved tydeligt at
vise retning, engagement,
præcis opgavefordeling og
anerkendelse af ansvar for
informationssikkerhed.
02
Koordinering af informations-sikkerhed
Formålet med kontrollen er
at sikre, at informationssikkerhedsaktiviteter koordineres af repræsentanter fra
forskellige dele af virksomheden med relevante roller
og jobfunktioner.
REVI-IT A/S
5.1.2
ISO
27002
6
6.1
any.cloud A/S’ kontrolforanstaltning
Det er ledelsen der godkender retningslinjerne for
politikker og procedurer, og det er ledelsen der
periodisk godkender opdateringer hertil. Årligt
foretages der review heraf for at sikre en opdateret
politik.
REVI-IT’s test
Vi har forespurgt til ledelsens forpligtigelse til
informationssikkerhed.
Resultat af test
Ingen væsentlige afvigelser
konstateret.
Vi har etableret it-sikkerhedspolitik der beskriver
hvordan vi overordnet skal håndteres vores forretning og vores leverance. Alle medarbejdere kender
til denne via intranettet og informeres, når ledelsen godkender opdateringer til politikken.
Vi har forespurgt til koordinering af informationssikkerhed.
Ingen væsentlige afvigelser
konstateret.
6.1.1
6.1.2
Vi har inspiceret dokumentation.
Vi har en klart opdelt organisation hvad ansvar
angår, og har udførlige ansvars- og rollebeskrivelser på alle niveauer lige fra ledelsesniveau til de
enkelte driftsmedarbejdere.
Side 27 af 56
any.cloud A/S
03
Delegering af ansvar for
informationssikkerhed
Formålet med kontrollen er
at sikre, at alt ansvar for
informationssikkerhed er
klart defineret.
Vi har en klart opdelt organisation hvad ansvar
angår, og har udførlige ansvars- og rollebeskrivelser på alle niveauer lige fra ledelsesniveau til de
enkelte driftsmedarbejdere.
Vi har forespurgt til delegering af ansvar.
04
Godkendelsesproces for
informationsbehandlingsfaciliteter
Formålet med kontrollen er
at sikre, at en styringsproces
for godkendelse af nyt informationsbehandlingsudstyr defineres og implementeres.
Vi har en klart opdelt organisation hvad ansvar
angår, og har udførlige ansvars- og rollebeskrivelser på alle niveauer lige fra ledelsesniveau til de
enkelte driftsmedarbejdere.
05
Fortrolighedsaftaler
Formålet med kontrollen er
at sikre, at krav til aftaler om
fortrolighed eller hemmeligholdelse, der afspejler virksomhedens behov for at
beskytte informationer, skal
identificeres og evalueres
regelmæssigt.
Kontakt med særlige interessegrupper
Formålet med kontrollen er
at sikre, at der opretholdes
passende kontakt med særlige interessegrupper eller
andre faglige sikkerhedsfora
og faglige organisationer.
07
REVI-IT A/S
Ingen væsentlige afvigelser
konstateret.
6.1.3
Vi har forespurgt til proces for godkendelse af
nye faciliteter.
Ingen væsentlige afvigelser
konstateret.
6.1.4
Der er etableret fortrolighed generelt for alle involverede i vores forretning. Dette sker via ansættelseskontrakter eller samarbejdsaftaler med underleverandører og samarbejdspartnere.
Vi har forespurgt til fortrolighedsaftaler.
Ingen væsentlige afvigelser
konstateret.
6.1.5
Vi holder os fagligt opdaterede vha. producenters
supporthjemmesider, debatfora mv. for konstaterede svagheder i de systemer, vi benytter og tilbyder.
Vi har forespurgt til kontakt med interessegrupper.
Ingen væsentlige afvigelser
konstateret.
6.1.7
Vi har inspiceret dokumentation.
Vi har inspiceret dokumentation for fortrolighed.
Vi har inspiceret dokumentation for kontakt med
DK-Cert
Via vores medlemskab af BFIH (Brancheforeningen
for IT-hostingvirksomheder i Danmark) har vi etableret kontakt til hotline hos DK-CERT, hvor vi gensidigt har aftale om orientering ved væsentlige sikkerhedsrelaterede forhold vedrørende internettrafik.
Side 28 af 56
any.cloud A/S
08
Uafhængig evaluering af
informationssikkerhed
Formålet med kontrollen er
at sikre, at virksomhedens
metode til styring af informationssikkerhed og implementeringen af den (dvs.
styringsmål, foranstaltninger, politikker, processer og
procedurer for informationssikkerhed) evalueres uafhængigt og separat med
planlagte mellemrum eller i
tilfælde af væsentlige ændringer af sikkerhedsimplementeringen.
Eksterne parter
09
Identifikation af risici i relation til eksterne parter
Formålet med kontrollen er
at sikre, at de risici for virksomhedens informationer og
informationsbehandlingsudstyr, som forretningsprocesser, der involverer eksterne
parter, frembyder, skal identificeres, og der iværksættes
passende foranstaltninger,
inden der gives adgang.
10
Sikkerhedsforhold i relation
til kunder
Formålet med kontrollen er
at sikre, at alle identificerede
sikkerhedskrav er afklaret,
inden kunder får adgang til
virksomhedens informationer eller aktiver.
REVI-IT A/S
Vi har en intern it-sikkerhedsorganisation, som
sikrer at politikker og procedurer ajourføres og
bidrager til optimering af det aktuelle sikkerhedsniveau i any.cloud A/S.
Vi har forespurgt til uafhængig evaluering af
informationssikkerhed.
Ingen væsentlige afvigelser
konstateret.
6.1.8
Vi har observeret, at der foretages en uafhængig
evaluering af informationssikkerhed.
Der foretages løbende og minimum årligt en uafhængig evaluering af informationssikkerheden,
som foretages af vores interne revision. Derudover
foretages evalueringen af en ekstern it-revisor
samt i forbindelse med udarbejdelse af de årlige
ISAE 3402 erklæringer.
Vi har i vores politik defineret hvordan vi samarbejder med eksterne parter. Er der tale om parter
som er en integreret del af vores leverancer, skal vi
føre tilsyn med underleverandørens etablerede
kontroller. For hvert samarbejde har vi udarbejdet
en risikovurdering for vurdering af risici, som samarbejdet kan medføre i forhold til vores ydelse til
kunderne, herunder sikkerheden hos de enkelte
leverandører, dataudveksling, eksterne adgange
mm.
Vi har forespurgt til identifikation af risici i relation til eksterne parter.
Vores tekniske og logiske sikkerhedsmodel kan
ikke afviges. Ønsker kunder ændringer, der efter
vores opfattelse slækker på deres eller på vores,
eller andre kunders systemer, tager vi en dialog
med kunden om en tilsvarende løsning. Dette kan
være web-services, kodeordspolitik, IP-forhold mv.
Vi har forespurgt til sikkerhedsforhold i relation
til kunder.
Ingen væsentlige afvigelser
konstateret.
6.2
6.2.1
Vi har inspiceret dokumentation.
Ingen væsentlige afvigelser
konstateret.
6.2.2
Vi har inspiceret dokumentation.
Side 29 af 56
any.cloud A/S
11
Håndtering af sikkerhed i
aftaler med tredjemand
Formålet med kontrollen er
at sikre, at aftaler med tredjemand om adgang, behandling, kommunikation eller
håndtering af virksomhedens
informationer eller informationsbehandlingsudstyr eller
om tilvejebringelse af produkter eller tjenester til informationsbehandlingsudstyr dækker alle relevante
sikkerhedskrav.
Vores tekniske og logiske sikkerhedsmodel kan
ikke afviges. Ønsker kunder ændringer, der efter
vores opfattelse slækker på deres eller på vores,
eller andre kunders systemer, tager vi en dialog
med kunden om en tilsvarende løsning. Dette kan
være web-services, kodeordspolitik, IP-forhold mv.
Vi har forespurgt til håndtering af sikkerhed med
tredjemand.
Ingen væsentlige afvigelser
konstateret.
Vi har inspiceret dokumentation.
ISO
27002
7
Styring af informationsrelaterede aktiver
Overordnet kontrolmål: Systemer, data og enheder skal sikres og dokumenteres betryggende.
Ansvar for aktiver
Nr.
Kontrolmål
01
Fortegnelse over aktiver
Formålet med kontrollen er
at sikre, at alle aktiver identificeres entydigt, og der udarbejdes og vedligeholdes en
fortegnelse over alle vigtige
aktiver.
02
Ejerskab af aktiver
Formålet med kontrollen er
at sikre, at alle informationer
og aktiver i relation til informationsbehandlingsudstyr
"ejes" af en udpeget part i
virksomheden.
REVI-IT A/S
6.2.3
7.1
any.cloud A/S’ kontrolforanstaltning
Systemer, data og enheder, herunder medarbejdere, m.m. skal sikres og dokumenteres betryggende.
Software, servere og netværksudstyr inkl. konfiguration er registreret til brug ved dokumentation,
overblik over udstyr mv.
Via ansvarsfordeling og rollebeskrivelser, er centrale netværksenheder, servere, periferienheder,
systemer og data tilegnet systemansvarlige i vores
virksomhed.
Kunders data og systemer er tilegnet kundens
kontaktperson. Vi arbejder med ejerskab for at
sikre, at ingen enheder, systemer eller data bliver
glemt ift. sikkerhedsopdatering, klassifikation, drift
og vedligehold.
REVI-IT’s test
Vi har forespurgt til fortegnelse over aktiver.
Resultat af test
Ingen væsentlige afvigelser
konstateret.
7.1.1
Vi har inspiceret dokumentation.
Vi har forespurgt til ejerskab af aktiver.
Ingen væsentlige afvigelser
konstateret.
7.1.2
Vi har inspiceret dokumentation.
Side 30 af 56
any.cloud A/S
03
Accepteret brug af aktiver
Formålet med kontrollen er
at sikre, at regler for accepteret brug af informationer og
aktiver i relation til informationsbehandlingsudstyr
identificeres, dokumenteres
og implementeres.
Klassifikation af information
04
Retningslinjer for klassifikation
Formålet med kontrollen er
at sikre, at informationer
klassificeres efter deres værdi, lovmæssige krav og efter,
hvor følsomme og kritiske
informationerne er for virksomheden.
05
Mærkning og håndtering af
informationer
Formålet med kontrollen er
at sikre, at der udarbejdes og
implementeres et passende
sæt af procedurer til mærkning og håndtering af informationer i overensstemmelse med den klassifikationsplan, som virksomheden har
vedtaget.
REVI-IT A/S
Vi har etableret it-sikkerhedspolitik der beskriver
hvordan vi overordnet skal håndteres vores forretning og vores leverance. Alle medarbejdere kender
til denne via intranettet og informeres, når ledelsen godkender opdateringer til politikken.
Vi har forespurgt til retningslinjer for brug af
aktiver.
Ingen væsentlige afvigelser
konstateret.
Ingen formel procedure
Vi har forespurgt til retningslinjer for klassifikation.
Ingen væsentlige afvigelser
konstateret.
Ingen formel procedure
Vi har forespurgt til mærkning og håndtering af
informationer.
Ingen væsentlige afvigelser
konstateret.
7.1.3
Vi har inspiceret dokumentation.
7.2
7.2.1
7.2.2
Vi har observeret opbevaring og mærkning af
informationer.
Side 31 af 56
any.cloud A/S
Medarbejdersikkerhed
Overordnet kontrolmål: Sikring af, at alle i virksomheden er bekendte med deres roller og ansvar – herunder også underleverandører og 3. parter, og at alle er kvalificerede og
egnede til at udføre deres rolle
Inden ansættelse
Nr.
Kontrolmål
01
Opgaver og ansvar
Formålet med kontrollen er
at sikre, at medarbejderes,
underleverandørers og eksterne brugeres sikkerhedsopgaver og sikkerhedsansvar
defineres og dokumenteres i
overensstemmelse med
virksomhedens informationssikkerhedspolitik.
02
Screening
Formålet med kontrollen er
at sikre, at efterprøvning af
alle jobkandidaters, underleverandørers og eksterne
brugeres baggrund udføres i
overensstemmelse med
relevante love, forskrifter og
etiske regler og skal stå i
forhold til de forretningsmæssige krav, klassifikationen af den information, der
skal gives adgang til, og de
relevante risici.
REVI-IT A/S
ISO
27002
8
8.1
any.cloud A/S’ kontrolforanstaltning
Vi vil sikre, at alle i virksomheden er bekendte med
deres roller og ansvar – herunder også vores underleverandører og 3. parter, og at alle er kvalificerede og egnede til at udføre deres rolle.
REVI-IT’s test
Vi har forespurgt til ansættelsesprocessen.
Resultat af test
Ingen væsentlige afvigelser
konstateret.
8.1.1
Vi har forespurgt til udarbejdelse af rolle og ansvarsbeskrivelser.
Vi har inspiceret procedurer og dokumentation.
Vi har procedurer for ansættelse af medarbejdere
og etablering af samarbejde med eksterne, hvor vi
sikrer, at vi ansætter den rigtige kandidat ift. baggrund og kompetence.
Vi har forespurgt til ansættelsesprocessen.
Ingen væsentlige afvigelser
konstateret.
8.1.2
Vi har forespurgt til screening af medarbejdere
inden ansættelse.
Side 32 af 56
any.cloud A/S
03
Ansættelsesforhold
Formålet med kontrollen er
at sikre, at medarbejdere,
underleverandører og eksterne brugere, som led i den
kontraktlige forpligtelse,
indgår og underskriver betingelserne i ansættelseskontrakten, der skal angive deres
og virksomhedens ansvar for
informationssikkerhed.
Under ansættelsen
04
Ledelsens ansvar
Formålet med kontrollen er
at sikre, at ledelsen kræver, at
medarbejdere, underleverandører og eksterne brugere
opretholder sikkerhed i overensstemmelse med virksomhedens fastlagte politikker
og procedurer.
05
Bevidsthed om, uddannelse
og træning i informationssikkerhed
Formålet med kontrollen er
at sikre, at alle virksomhedens medarbejdere og, hvor
det er relevant, underleverandører og eksterne brugere
bevidstgøres om sikkerhed
og regelmæssigt holdes ajour
med virksomhedens politikker og procedurer, i det omfang det er relevant for deres
jobfunktion.
REVI-IT A/S
Generelle vilkår for ansættelse, herunder fortrolighed om egne og kunders forhold, er beskrevet i
hver medarbejders ansættelseskontrakt hvor forhold omkring alle sider af ansættelsen, herunder
ophør og sanktioner ved evt. sikkerhedsbrud, er
angivet.
Vi har forespurgt til medarbejderes ansættelsesforhold og leverandørs kontrakter.
Alle i vores virksomhed skal leve op til den rolle,
som er tilegnet dem samt følge vores procedurer jf.
vores it-sikkerhedspolitik samt ansvars og rollefordeling.
Vi har forespurgt til ledelsens ansvar i forhold til
politikker og procedurer.
Der afholdes løbende, dog minimum årligt, kurser,
foredrag samt andre relevante aktiviteter til sikring af, at relevante medarbejdere og evt. eksterne
samarbejdspartnere holdes ajour med sikkerhed
og bevidstgøres om evt. nye trusler.
Vi har forespurgt til uddannelse af brugere i itsikkerhed.
Ingen væsentlige afvigelser
konstateret.
8.1.3
Vi har inspiceret udvalgte ansættelseskontrakter
og kontrakter med leverandører.
Ingen væsentlige afvigelser
konstateret.
8.2
8.2.1
Vi har inspiceret kontroller og dokumentation.
Ingen væsentlige afvigelser
konstateret.
8.2.2
Vi har inspiceret proceduren for uddannelse af
medarbejdere.
Medarbejdere, og eksterne parter hvor det er relevant at inkludere disse under vores sikkerhedsretningslinjer, bliver periodisk orienteret om vores
sikkerhedsretningslinjer samt når der sker ændringer.
Side 33 af 56
any.cloud A/S
06
Sanktioner
Formålet med kontrollen er
at sikre, at der forefindes en
formel sanktionsproces for
medarbejdere, der har begået sikkerhedsbrud.
Generelle vilkår for ansættelse, herunder fortrolighed om egne og kunders forhold, er beskrevet i
hver medarbejders ansættelseskontrakt hvor forhold omkring alle sider af ansættelsen, herunder
ophør og sanktioner ved evt. sikkerhedsbrud, er
angivet.
Vi har forespurgt til retningslinjer for sanktioner.
Ved ophør af en ansættelse har vi en udførlig procedure, som skal følges, for at sikre, at medarbejderne indleverer alle relevante aktiver, herunder
bærbare medier mm, samt sikre at alle medarbejderes adgange til bygninger, systemer og data
inddrages. Det overordnede ansvar for sikring af
alle kontroller i fratrædelsesprocessen ligger hos
it-chefen.
Vi har forespurgt til ansvar ved ophør af medarbejdere.
Tilbagelevering af aktiver
Formålet med kontrollen er
at sikre, at alle medarbejdere,
underleverandører og eksterne brugere afleverer alle
virksomhedsaktiver, der er i
deres besiddelse, når deres
ansættelse, kontrakt eller
aftale ophører.
Ved ophør af en ansættelse har vi en udførlig procedure, som skal følges, for at sikre, at medarbejderne indleverer alle relevante aktiver, herunder
bærbare medier mm, samt sikre at alle medarbejderes adgange til bygninger, systemer og data
inddrages. Det overordnede ansvar for sikring af
alle kontroller i fratrædelsesprocessen ligger hos
it-chefen.
Vi har forespurgt til procedure ved ophør af
medarbejdere.
Inddragelse af adgangsrettigheder
Formålet med kontrollen er
at sikre, at alle medarbejderes, underleverandørers og
eksterne brugeres adgangsrettigheder til informationer
og informationsbehandlingsudstyr skal inddrages,
når deres ansættelsesforhold, kontrakt eller aftale
ophører, eller skal tilpasses
efter en ændring.
Ved ophør af en ansættelse har vi en udførlig procedure, som skal følges, for at sikre, at medarbejderne indleverer alle relevante aktiver, herunder
bærbare medier mm, samt sikre at alle medarbejderes adgange til bygninger, systemer og data
inddrages. Det overordnede ansvar for sikring af
alle kontroller i fratrædelsesprocessen ligger hos
it-chefen.
Vi har forespurgt til procedure ved ophør af
medarbejdere.
Ophør eller ændring af ansættelse
07
Ansvar ved ophør
Formålet med kontrollen er
at sikre, at ansvar for at bringe et ansættelsesforhold til
ophør eller ændre et ansættelsesforhold er tydeligt
defineret og tildelt.
08
09
REVI-IT A/S
Ingen væsentlige afvigelser
konstateret.
8.2.3
Vi har inspiceret retningslinjer.
Ingen væsentlige afvigelser
konstateret.
8.3
8.3.1
Vi har inspiceret retningslinjer.
Ingen væsentlige afvigelser
konstateret.
8.3.2
Ingen væsentlige afvigelser
konstateret.
8.3.3
Vi har stikprøvevis inspiceret proceduren.
Vi har stikprøvevis inspiceret proceduren.
Side 34 af 56
any.cloud A/S
Fysisk sikkerhed
Overordnet kontrolmål: At forhindre uautoriseret fysisk adgang til, beskadigelse og forstyrrelse af virksomhedens lokaler og informationer, samt at undgå tab, skade, tyveri
eller kompromittering af aktiver og afbrydelse af virksomhedens aktiviteter.
Sikre områder
Nr.
Kontrolmål
01
Fysisk sikkerhedsafgrænsning
Formålet med kontrollen er
at sikre, at sikkerhedsafgrænsninger (barrierer som
fx vægge, kortstyrede indgangsporte eller bemandede
receptioner) anvendes til at
beskytte områder, der indeholder informationer og
informationsbehandlingsfaciliteter.
02
Fysisk adgangskontrol
Formålet med kontrollen er
at sikre, at sikre områder er
beskyttet med passende
adgangskontroller for at
sikre, at kun autoriseret personale kan få adgang.
REVI-IT A/S
ISO
27002
9
9.1
any.cloud A/S’ kontrolforanstaltning
Vores servere er fysisk placeret i aflåst lokale, som
har monteret køling og brandslukning mv. Alene
autoriserede personer får adgang til lokalet via
den etablerede procedure, og vi følger periodisk,
minimum årligt, op på hvilke personer, der har
denne adgang. Skal eksterne personer (leverandører eller kunder) have adgang til lokalet, er det i
følgeskab med en af vores autoriserede medarbejdere.
InterXion køle- og brandanlæg bliver efterset periodisk, ligesom InterXion’s nødstrømsanlæg (UPS)
halvårligt får foretaget eftersyn. InterXion har
opsat systemer således, at der overvågers temperature og strømspændinger i serverrummet.
Serverrummet indeholder vores centrale netværksudstyr, og er således sikret på samme vis som
servere.
REVI-IT’s test
Vi har forespurgt til den fysiske sikkerhedsafgrænsning hos any.cloud's leverandør.
Alene autoriserede personer får adgang til lokalet
via den etablerede procedure, og vi følger periodisk, minimum årligt, op på hvilke personer, der har
denne adgang. Skal eksterne personer (leverandører eller kunder) have adgang til lokalet, er det i
følgeskab med en af vores autoriserede medarbejdere.
Vi har forespurgt til retningslinjer for fysisk adgangskontrol hos any.cloud og deres leverandør.
Resultat af test
Ingen væsentlige afvigelser
konstateret.
9.1.1
Vi har inspiceret kontrakten med any.cloud's
leverandør og erklæring fra Interxion.
Vi har inspiceret den fysiske sikkerhedsafgrænsning hos any.cloud.
Ingen væsentlige afvigelser
konstateret.
9.1.2
Vi har inspiceret kontrakten med any.cloud's
leverandør og erklæring fra Interxion.
Vi har inspiceret kontroller og dokumentation.
Side 35 af 56
any.cloud A/S
03
04
Sikring af kontorer, lokaler og
faciliteter
Formålet med kontrollen er
at sikre, at sikring af kontorer, lokaler og faciliteter
tilrettelægges og etableres.
Vores kontorlokaler er monteret med tyverialarm,
som på samme vis som ved alarmering i vores
serverrum, alarmerer relevante personer hos os.
Ingen uvedkommende vil kunne gå uhindret omkring i vores kontorer, idet vores reception er bemandet.
Vi har etableret mulighed for, at vores medarbejdere kan arbejde hjemmefra af hensyn til bl.a. driftsvagt, og vi har politik for, at udstyr (bærbare mv.)
ikke benyttes til andet end arbejdsrelaterede forhold, ikke efterlades uden opsyn mv.
Vi har forespurgt til sikring af kontorer, lokaler og
faciliteter hos any.cloud.
Beskyttelse mod eksterne og
miljømæssige trusler
Formålet med kontrollen er
at sikre, at fysisk beskyttelse
mod skadevirkninger fra
brand, oversvømmelser,
jordskælv, eksplosioner,
civile optøjer og andre former for natur- eller menneskeskabte katastrofer tilrettelægges og etableres.
Vi har aftale med vores underleverandør om housing af vores egne servere, og der er implementeret
tilsvarende foranstaltninger mod tyveri, brand,
vand og temperatur.
Vi har forespurgt til beskyttelse mod eksterne og
miljømæssige trusler hos any.cloud’s leverandør.
Vores servere er fysisk placeret i aflåst lokale, som
har monteret køling og brandslukning mv.
InterXion køle- og brandanlæg bliver efterset periodisk, ligesom InterXion’s nødstrømsanlæg (UPS)
halvårligt får foretaget eftersyn. InterXion har
opsat systemer således, at der overvågers temperature og strømspændinger i serverrummet.
Serverrummet indeholder vores centrale netværksudstyr, og er således sikret på samme vis som
servere.
Vi har forespurgt til placering og beskyttelse af
udstyr hos any.cloud og deres leverandør.
Sikring af udstyr
07
Placering og beskyttelse af
udstyr
Formålet med kontrollen er
at sikre, at udstyr placeres
eller beskyttes for at nedsætte risikoen for miljøtrusler og
farer og for muligheden for
uautoriseret adgang.
REVI-IT A/S
Ingen væsentlige afvigelser
konstateret.
9.1.3
Ingen væsentlige afvigelser
konstateret.
9.1.4
Vi har inspiceret faciliteterne hos any.cloud.
Vi har inspiceret kontrakten med any.cloud's
leverandør og erklæring fra Interxion
Ingen væsentlige afvigelser
konstateret.
9.2
9.2.1
Vi har inspiceret kontrakten med any.cloud's
leverandør og erklæring fra Interxion.
Side 36 af 56
any.cloud A/S
08
10
11
12
Understøttende forsyninger
(forsyningssikkerhed)
Formålet med kontrollen er
at sikre, at udstyr beskyttes
mod strømsvigt og andre
forstyrrelser som følge af
svigt af understøttende forsyninger.
Vores servere er fysisk placeret i aflåst lokale, som
har monteret køling og brandslukning mv.
InterXion køle- og brandanlæg bliver efterset periodisk, ligesom InterXion’s nødstrømsanlæg (UPS)
halvårligt får foretaget eftersyn. InterXion har
opsat systemer således, at der overvågers temperature og strømspændinger i serverrummet.
Serverrummet indeholder vores centrale netværksudstyr, og er således sikret på samme vis som
servere.
Vi har forespurgt til understøttende forsyninger
hos any.cloud's leverandør.
Vedligeholdelse af udstyr
Formålet med kontrollen er
at sikre, at udstyr vedligeholdes korrekt for at sikre dets
fortsatte tilgængelighed og
integritet.
Vores servere er fysisk placeret i aflåst lokale, som
har monteret køling og brandslukning mv.
InterXion køle- og brandanlæg bliver efterset periodisk, ligesom InterXion’s nødstrømsanlæg (UPS)
halvårligt får foretaget eftersyn. InterXion har
opsat systemer således, at der overvågers temperature og strømspændinger i serverrummet.
Serverrummet indeholder vores centrale netværksudstyr, og er således sikret på samme vis som
servere.
Vi har forespurgt til vedligeholdelse af udstyr hos
any.cloud's leverandør.
Sikring af udstyr uden for
virksomhedens lokaler
Formålet med kontrollen er
at sikre, at der etableres
sikring af udstyr uden for
virksomheden under hensyntagen til de forskellige risici,
der er forbundet med arbejde
uden for virksomhedens
lokaler.
Vores servere er fysisk placeret i aflåst lokale, som
har monteret køling og brandslukning mv.
InterXion køle- og brandanlæg bliver efterset periodisk, ligesom InterXion’s nødstrømsanlæg (UPS)
halvårligt får foretaget eftersyn. InterXion har
opsat systemer således, at der overvågers temperature og strømspændinger i serverrummet.
Serverrummet indeholder vores centrale netværksudstyr, og er således sikret på samme vis som
servere.
Vi har forespurgt til retningslinjer for sikring af
udstyr udenfor any.cloud’s lokaler.
Sikker bortskaffelse eller
genbrug af udstyr
Formålet med kontrollen er
at sikre, at alt udstyr med
lagringsmedier kontrolleres
for at sikre, at følsomme data
og licensbeskyttet software
er slettet eller sikkert overskrevet inden bortskaffelse.
Alt databærende udstyr destrueres inden bortskaffelse for at sikre, at data ikke er tilgængeligt.
Vi har forespurgt til retningslinjer for bortskaffelse af udstyr.
REVI-IT A/S
Ingen væsentlige afvigelser
konstateret.
9.2.2
Ingen væsentlige afvigelser
konstateret.
9.2.4
Ingen væsentlige afvigelser
konstateret.
9.2.5
Ingen væsentlige afvigelser
konstateret.
9.2.6
Vi har inspiceret kontrakten med any.cloud's
leverandør og erklæring fra Interxion.
Vi har inspiceret kontrakten med any.cloud's
leverandør og erklæring fra Interxion.
Vi har inspiceret retningslinjer.
Vi har inspiceret retningslinjer.
Side 37 af 56
any.cloud A/S
Styring af netværk og drift
Overordnet kontrolmål: At sikre korrekt og sikker drift af informationsbehandlingsudstyr, implementere og opretholde et passende niveau af informationssikkerhed og serviceydelser i overensstemmelse med aftaler om ydelser fra tredjeparter, minimere risikoen for systemnedbrud, beskytte integriteten af software og informationer samt afsløre uautoriserede informationsbehandlingsaktiviteter.
Operationelle procedurer og ansvarsområder
Nr.
Kontrolmål
any.cloud A/S’ kontrolforanstaltning
01
Dokumenterede driftsproceGennem løbende dokumentation og processer
durer
sikrer vi at kunne udelukke eller minimere nøgleFormålet med kontrollen er
personsafhængighed. Opgaver tildeles, fastsættes
at sikre, at driftsprocedurer
og via procedurer for styring af den operative drift.
dokumenteres, vedligeholdes
og gøres tilgængelige for alle
brugere, der har brug for
dem.
02
Ændringsstyring
Formålet med kontrollen er
at sikre, at ændringer af informationsbehandlingsudstyr og -systemer styres og
dokumenteres.
Vi har defineret en proces for ændringshåndtering
for at sikre, at ændringer sker efter aftale med
kunder og tilrettelagt hensigtsmæssigt i forhold til
interne forhold. Ændringer sker alene baseret på
en kvalificering af opgaven, kompleksiteten og
vurdering af påvirkning af andre systemer. Herudover følges en proces omkring udvikling og test, og
accept fra både os og fra kundens side.
Uanset hvilken ændring, der er tale om, sikres det
altid, som minimum, at;
•
•
•
•
•
•
REVI-IT A/S
ISO
27002
10
10.1
REVI-IT’s test
Vi har forespurgt til udarbejdelse af driftsprocedurer.
Resultat af test
Ingen væsentlige afvigelser
konstateret.
10.1.1
Vi har inspiceret udvalgte driftsprocedurer.
Vi har forespurgt til procedure for håndtering af
ændringer.
Ingen væsentlige afvigelser
konstateret.
10.1.2
Vi har inspiceret proceduren.
Vi har stikprøvevis inspiceret ændringer.
Alle ændringer drøftes, prioriteres og
godkendes af ledelsen
Alle ændringer testes
Alle ændringer godkendes før idriftsættelse
Alle ændringer idriftsættes på et fastsat
tidspunkt efter aftale med forretningen
og kunder
Der fortages fallback-planlægning, som
sikrer, at ændringer kan rulles tilbage eller annulleres, hvis den ikke fungerer
Systemdokumentationen opdateres med
den nye ændring, såfremt det vurderes
nødvendigt
Side 38 af 56
any.cloud A/S
03
Funktionsadskillelse
Formålet med kontrollen er
at sikre, at funktioner og
ansvarsområder adskilles for
at nedsætte muligheden for
uautoriseret eller utilsigtet
ændring eller misbrug af
virksomhedens aktiver.
Selvom vores organisation ikke nødvendigvis gør,
at vi kan have overlap inden for alle opgaver og
systemer, sikrer vi via dokumentationer og beskrivelser – og via kompetente og flittige medarbejdere – at medarbejdere eller nye medarbejdere kan
påbegynde et arbejde på et system, som vedkommende ikke har operationel og historisk erfaring
med. Vi opererer med dobbeltroller på alle systemer således, at den primære ansvarlige medarbejder har ansvar for at kommunikere praktiske forhold til kollegaer.
Styring af serviceydelser fra tredjepart
05
Levering af services
Hvor vi bruger underleverandører fører vi tilsyn
Formålet med kontrollen er
med de aftalte leverancer, idet disse skal efterleve
at sikre, at tredjeparten
vores egne politikker for ydelseslevering, herunder
iværksætter, gennemfører og vores forretningsvilkår med vores kunder.
opretholder sikkerhedsforanstaltninger, servicebeskrivelser og leveringsniveauer,
der er omfattet af aftalen om
ydelser fra tredjeparter.
06
Overvågning og evaluering af
serviceydelser fra tredjeparter
Formålet med kontrollen er
at sikre, at de serviceydelser,
rapporter og registreringer,
som tredjeparten leverer,
overvåges og evalueres løbende, og der foretages regelmæssige revision.
REVI-IT A/S
Hvor vi bruger underleverandører fører vi tilsyn
med de aftalte leverancer, idet disse skal efterleve
vores egne politikker for ydelseslevering, herunder
vores forretningsvilkår med vores kunder.
Vi har forespurgt til funktionsadskillelse i
any.cloud.
Ingen væsentlige afvigelser
konstateret.
10.1.3
Vi har inspiceret retningslinjer.
Vi har forespurgt til levering af services fra tredjepart.
Ingen væsentlige afvigelser
konstateret.
10.2
10.2.1
Vi har inspiceret dokumentation.
Vi har forespurgt til overvågning af services fra
leverandører.
Ingen væsentlige afvigelser
konstateret.
10.2.2
Vi har observeret den etablerede overvågning.
Side 39 af 56
any.cloud A/S
07
Styring af ændringer af serviceydelser fra tredjeparter
Formålet med kontrollen er
at sikre, at ændringer i tilvejebringelsen af serviceydelser, herunder vedligeholdelse
og forbedring af eksisterende
informationssikkerhedspolitikker, -procedurer og foranstaltninger, styres under hensyntagen til, hvor
kritiske de involverede forretningssystemer og processer er, og til en revurdering af risici.
Når der sker ændringer internt i organisationen,
herunder politikker og procedurer, samt ændringer
til vores ydelser eller ydelser fra vores eksterne
samarbejdspartnere, foretages der altid en risikovurdering for at afdække om ændringerne får indflydelse på vores aftale med kunderne.
Systemplanlægning og systemaccept
08
Kapacitetsstyring
Via vores generelle overvågningssystem, har vi sat
Formålet med kontrollen er
grænseværdier for hvornår vores overordnede
at sikre, at anvendelsen af
systemer, og dermed vores kunders systemer, skal
ressourcer skal styres og
skaleres op af hensyn til elektronisk plads, svartitilpasses, og der foretages
der mv. Når vi opsætter nye systemer foretages
fremskrivninger af fremtidige test af funktionalitet og herunder kapacitet- og
kapacitetskrav for at sikre, at
performancetest.
systemet fungerer som krævet.
Beskyttelse mod skadevoldende programmer og mobil kode
10
Foranstaltninger mod skadeVi har implementeret scannings- og overvågningsvoldende kode
systemer til at sikre mod kendt skadevoldende
Formålet med kontrollen er
kode, dvs. hvad vi og vores kunder – via vores platat sikre, at der iværksættes
forme – kan risikere at blive inficeret med på interforanstaltninger til detektenettet, via mails mv. Vi har antivirus-systemer,
ring, forhindring og gendansystemer til overvågning af internetbrug, trafik og
nelse for at beskytte mod
ressourcer på SaaS platforme, sikringer i øvrige
skadevoldende kode, og der
tekniske og centrale installationer (firewall mv.)
indføres passende brugerbevidsthedsprocedurer.
REVI-IT A/S
Vi har forespurgt til styring af ændringer fra
leverandører.
Ingen væsentlige afvigelser
konstateret.
10.2.3
Vi har inspiceret retningslinjer.
Vi har forespurgt til kontroller for kapacitetssyring.
Ingen væsentlige afvigelser
konstateret.
10.3
10.3.1
Vi har inspiceret kontroller for kapacitetsstyring.
Vi har forespurgt til anvendelse af antivirussoftware.
Ingen væsentlige afvigelser
konstateret.
10.4
10.4.1
Vi har inspiceret den etablerede løsning.
Side 40 af 56
any.cloud A/S
Sikkerhedskopiering (backup)
12
Sikkerhedskopiering af informationer
Formålet med kontrollen er
at sikre, at der tages sikkerhedskopier af informationer
og software, og disse skal
testes regelmæssigt i overensstemmelse med den aftalte politik for sikkerhedskopiering.
Vi sikrer at kunne genskabe systemer og data på
hensigtsmæssig og korrekt vis, og efter de aftaler,
vi har med vores kunder.
Vi har etableret en testplan for verificering af
hvorvidt sikkerhedskopieringen fungerer samt en
test af hvordan systemer og data praktisk kan
retablereres. Der føres en log over disse tests således at vi kan følge op på om vi kan ændre på procedurer og processer for at højne vores løsning.
Vi har forespurgt til procedurer for sikkerhedskopiering.
Ingen væsentlige afvigelser
konstateret.
10.5
10.5.1
Vi har inspiceret den etablerede løsning.
Med mindre andet er aftalt med vores kunder,
foretager vi sikkerhedskopiering af hele deres
virtuelle miljø hos os. Vi foretager sikkerhedskopiering af vores egne systemer og data på samme vis,
som vores kunders systemer og data.
Vi har defineret retningslinjer for på hvilken vis, vi
foretager sikkerhedskopiering. Hver nat føres en
fuld kopi af data fra vores centrale systemer til
vores co-location ved hjælp af vores backupsystem. Dermed er data fysisk separeret fra vores
driftssystemer, og efter endt afvikling, foretages
der en automatiseret verificering af, hvorvidt datamængde og indhold mellem vores driftssystem
og co-colation, stemmer overens.
En ansvarlig medarbejder sikrer herefter, at sikkerhedskopieringen er sket, foretage det fornødne,
hvis jobbet er fejlet, og herefter logføre dette.
Styring af netværkssikkerhed
13
Netværksforanstaltninger
Formålet med kontrollen er
at sikre, at netværk styres og
kontrolleres tilstrækkeligt til
at beskytte dem mod trusler
og til at opretholde sikkerhed
for systemer og applikationer, der anvender netværket,
herunder information under
overførelse.
REVI-IT A/S
It-sikkerheden omkring systemers og datas ydre
rammer, er netværket mod internettet, remote
eller lignende. Vi mener at have sikret data og
systemer også inde i netværket, men det ydre værn
mod uvedkommende adgang, er af højeste prioritet hos os.
Vi har forespurgt til netværksforanstaltninger
hos any.cloud.
Ingen væsentlige afvigelser
konstateret.
10.6
10.6.1
Vi har inspiceret dokumentation.
Side 41 af 56
any.cloud A/S
14
Sikring af netværkstjenester
Formålet med kontrollen er
at sikre, at sikkerhedstiltag,
serviceniveauer og styringskrav til alle netværkstjenester identificeres og indgår i
en aftale om netværkstjenester, uanset om disse tjenester leveres internt eller er
outsourcede.
Mediehåndtering
15
Styring af bærbare medier
Formålet med kontrollen er
at sikre, at der er etableret
procedurer til styring af
bærbare medier samt opdatering af procedurerne.
Alene godkendt netværkstrafik (indgående) kommer gennem vores firewall.
Vi er ansvarlige for driften og sikkerheden hos os,
dvs. fra og med systemerne hos os og ud til internettet (eller MPLS). Vores kunder er selv ansvarlige
for at kunne tilgå internettet.
Vi har forespurgt til sikring af netværkstjenester.
Vi sikrer, i bedst muligt omfang, at vores medarbejderes bærbare medier såsom bærbare pc, , mobiltelefon og lign er konfigureret sikkerhedsmæssigt lige så højt, som resten af vores miljø, samt det
sikres at de databærende medier opdateres når vi
foretager nye sikkerhedstiltag.
Vi har forespurgt til sikring af bærbare medier.
Ingen væsentlige afvigelser
konstateret.
10.6.2
Vi har inspiceret dokumentation.
Ingen væsentlige afvigelser
konstateret.
10.7
10.7.1
Vi har inspiceret de etablerede foranstaltninger.
Vi skal sikre, at vores og vores kunders systemer og
data beskyttes. Vi håndterer derfor ikke kunders
data på håndbårne medier (Eksterne USB medier,
CD/DVD) uden forudgående skriftlig aftale med
kunderne samt ved passende fysisk beskyttelse
mod miljømæssige påvirkninger (varme mv.) samt
hærværk og tyveri.
18
Sikring af systemdokumentation
Formålet med kontrollen er
at sikre, at systemdokumentation beskyttes mod uautoriseret adgang.
REVI-IT A/S
Vores dokumentation er naturligvis livsvigtig for
os, og på alle måder fortrolig ift. omverdenen. For
at sikre fortroligheden af informationerne, har vi
informationerne fordelt på flere steder og platforme.
Vi har forespurgt til sikring af systemdokumentation.
Ingen væsentlige afvigelser
konstateret.
10.7.4
Vi har inspiceret de etablerede foranstaltninger.
Side 42 af 56
any.cloud A/S
Informationsudveksling
19
Politikker og procedurer for
informationsudveksling
Formålet med kontrollen er
at sikre, at der foreligger
formelle politikker, procedurer og foranstaltninger for at
beskytte information udvekslingen ved hjælp af alle former for kommunikationsudstyr.
22
Forretningsinformationssystemer
Formålet med kontrollen er
at sikre, at der udarbejdes og
implementeres politikker og
procedurer for at beskytte
information i forbindelse
med sammenkobling af forretningsinformationssystemer.
REVI-IT A/S
Ekstern datakommunikation sker alene via mails,
idet vores kunders adgang og brug af vores servere, ikke betragtes som ekstern datakommunikation.
Vi har forespurgt til politikker og procedurer for
informationsudveksling.
Ingen væsentlige afvigelser
konstateret.
10.8
10.8.1
Vi har inspiceret politikker og procedurer.
Fortrolige informationer udveksles ikke via mails,
uden de – eller de medfølgende vedhæftede filer –
er krypterede eller passwordbeskyttede.
Alene godkendt netværkstrafik (indgående) kommer gennem vores firewall.
Vi er ansvarlige for driften og sikkerheden hos os,
dvs. fra og med systemerne hos os og ud til internettet (eller MPLS). Vores kunder er selv ansvarlige
for at kunne tilgå internettet.
Vi har forespurgt til politikker og procedurer.
Ingen væsentlige afvigelser
konstateret.
10.8.5
Vi har inspiceret dokumentation.
Side 43 af 56
any.cloud A/S
Overvågning
23
Auditlogning (opfølgningslogning)
Formålet med kontrollen er
at sikre, at auditlogning til
registrering af brugeraktiviteter, undtagelser og informationssikkerhedshændelser udføres og opbevares i et
aftalt tidsrum af hensyn til
fremtidige undersøgelser og
overvågning af adgangskontrol.
Vi lægger stor tid heri da vi mener at overvågning
er med til og fange incidents proaktivt. Vores
driftsmedarbejdere foretager derfor den daglige
overvågning af vores systemer via automatiserede
systemer til måling af grænseværdier. Der sker en
alarmering via SMS og mail såfremt kritiske hændelser konstateres, og vi gør sådan fordi vi skal
sikre vores kunders data – fortroligheden heraf.
Vi har forespurgt til logning og opfølgning på
logs.
Ingen væsentlige afvigelser
konstateret.
10.10
10.10.1
Vi har inspiceret de etablerede logs og kontroller.
Til styring af overvågning og opfølgning på hændelser, har vi implementeret formelle incident og
problem management procedurer til sikring af, at
hændelser registreres, prioriteres, styres, eskaleres
og at der foretages de nødvendige handlinger.
Forløbet dokumenteres i vores hotline-system.
Hændelser for login og logout på vores platforme
logføres. Udover logning af login har vi udarbejdet
en logstrategi for hvilke hændelser og brugeraktiviteter, som logges og skal følges op på. De udvalgte logs er beskyttet mod manipulation og er sikret
via adgangskontroller.
24
25
Overvågning af systemanvendelse
Formålet med kontrollen er
at sikre, at der udarbejdes
procedurer for overvågning
af anvendelsen af informationsbehandlingsudstyr, og
resultaterne af overvågningsaktiviteter skal evalueres regelmæssigt.
Beskyttelse af logoplysninger
Formålet med kontrollen er
at sikre, at logningsfaciliteter
og logoplysninger beskyttes
mod manipulation og uautoriseret adgang.
REVI-IT A/S
Til styring af overvågning og opfølgning på hændelser, har vi implementeret formelle incident og
problem management procedurer til sikring af, at
hændelser registreres, prioriteres, styres, eskaleres
og at der foretages de nødvendige handlinger.
Vi har forespurgt til overvågning af systemanvendelse.
Ingen væsentlige afvigelser
konstateret.
10.10.2
Vi har inspiceret den etablerede overvågning.
Se 10.10.1
10.10.3
Side 44 af 56
any.cloud A/S
26
Administrator- og operatørlog
Formålet med kontrollen er
at sikre, at aktiviteter udført
af systemadministrator og
systemoperatør logges.
27
Fejllogning
Formålet med kontrollen er
at sikre, at fejl logges, analyseres, og der iværksættes
passende handlinger.
Hændelser for login og logout på vores platforme
logføres. Udover logning af login har vi udarbejdet
en logstrategi for hvilke hændelser og brugeraktiviteter, som logges og skal følges op på. De udvalgte logs er beskyttet mod manipulation og er sikret
via adgangskontroller.
Vi har forespurgt til registrering og håndtering af
fejl.
Tidssynkronisering
Formålet med kontrollen er
at sikre, at urene i alle relevante informationsbehandlingssystemer i en virksomhed eller et sikkerhedsdomæne er synkroniseret med
en aftalt præcis tidsangivelseskilde.
Ingen formel procedure
Vi har forespurgt til tidssynkronisering.
28
REVI-IT A/S
Se 10.10.1
10.10.4
Ingen væsentlige afvigelser
konstateret.
10.10.5
Ingen væsentlige afvigelser
konstateret.
10.10.6
Vi har stikprøvevis inspiceret fejl i revisionsperioden.
Vi har inspiceret dokumentation.
Side 45 af 56
any.cloud A/S
Adgangsstyring
Overordnet kontrolmål: At sikre autoriserede brugeres adgang og forhindre uautoriseret adgang til informationssystemer, driftssystemer samt netværkstjenester.
Forretningsmæssige krav til adgangsstyring
Nr.
Kontrolmål
any.cloud A/S’ kontrolforanstaltning
01
Politik for adgangsstyring
Vi vil sikre, at vores og vores kunders adgange ske
Formålet med kontrollen er
efter hensigten, og at det alene er personer med
at sikre, at en politik for adautoriseret adgangsniveau, der har adgang til data.
gangsstyring udarbejdes,
Vi vil sikre, at der er sporbarhed i brugen af systedokumenteres og evalueres
mer og data, og adgangen sker itpå grundlag af forretningssikkerhedsmæssigt betryggende.
og sikkerhedsmæssige krav
til adgang.
Vi har defineret en række retningslinjer og procedurer herfor.
Administration af brugeradgang
02
Brugerregistrering
Formålet med kontrollen er
at sikre, at der er etableret en
formel procedure for registrering og nedlæggelse af
brugere til tildeling og afbrydelse af adgang til samtlige
informationssystemer og tjenester.
03
Administration af privilegier
Formålet med kontrollen er
at sikre, at tildeling og anvendelse af privilegier begrænses og styres.
REVI-IT A/S
ISO
27002
11
11.1
REVI-IT’s test
Vi har forespurgt til politiker for adgangsstyring.
Resultat af test
Ingen væsentlige afvigelser
konstateret.
11.1.1
Vi har inspiceret procedurer.
Vores kunders brugere oprettes alene på baggrund
af vores kunders ønske. Vores kunder er dermed
ansvarlige herfor og for nedlæggelse. Vores egne
brugere oprettes alene på baggrund af skriftligt
ønske fra ledelsen.
Vi har forespurgt til procedure for oprettelse og
nedlæggelse af brugere.
Vi vil sikre, at vores og vores kunders adgange ske
efter hensigten, og at det alene er personer med
autoriseret adgangsniveau, der har adgang til data.
Vi har forespurgt til administrering af privilegier.
Ingen væsentlige afvigelser
konstateret.
11.2
11.2.1
Vi har stikprøvevis inspiceret oprettelser og
nedlæggelser i revisionsperioden.
Ingen væsentlige afvigelser
konstateret.
11.2.2
Vi har observeret administreringen af privilegier.
Side 46 af 56
any.cloud A/S
04
Administration af brugeradgangskoder (password)
Formålet med kontrollen er
at sikre, at tildeling af adgangskoder styres ved hjælp
af en formel administrationsproces.
Alle brugere på tværs af både kundesystemer og
egne systemer, har restriktioner omkring adgangskode. Alle brugere har en adgangskode, og det er
systemmæssigt sat op således, at der er begrænsninger ift. udformningen af kodeordet. Koder skal
skiftes regelmæssigt og være komplekse.
Vi har forespurgt til administrering af passwords.
Vi har inspiceret administrationen af passwords.
Brugerne hos any.cloud kan
selv administrere deres
passwords og kvalitet heraf.
11.2.3
Ingen væsentlige afvigelser
konstateret.
11.2.4
Vores it-sikkerhedspolitik beskriver, at vores medarbejderes kodeord er personlige, og det er alene
brugeren selv, der må kende kodeordet.
05
Evaluering af brugeradgangsrettigheder
Formålet med kontrollen er
at sikre, at ledelsen evaluerer
brugeres adgangsrettigheder
med regelmæssige mellemrum ved hjælp af en formel
proces.
For vores egne brugere, gennemgår ledelsen periodisk, minimum årligt, en liste med oprettede
brugere og deres adgangsniveau for at sikre mod
adgang for uautoriserede personer.
Brugeransvar
06
Brug af adgangskode
Formålet med kontrollen er
at sikre, at det er et krav, at
brugere følger god sikkerhedspraksis ved valg og anvendelse af adgangskoder.
07
Brugerudstyr uden opsyn
Formålet med kontrollen er
at sikre, at brugere sikrer, at
udstyr, som er uden opsyn, er
passende beskyttet.
REVI-IT A/S
Vi har forespurgt til gennemgang af brugerrettigheder.
Vi har inspiceret kontrollerne.
11.3
11.3.1
Se 11.2.3
Alle interne brugerkonti er centralt styret til at gå
på skærmlås ved inaktivitet i 20 minutter. Dermed
sikrer vi, at uautoriseret personale ikke opnår adgang til fortroligt data.
Vi har forespurgt til retningslinjer for brugerudstyr uden opsyn.
Ingen væsentlige afvigelser
konstateret.
11.3.2
Vi har inspiceret de etablerede foranstaltninger.
Side 47 af 56
any.cloud A/S
Styring af netværksadgang
10
Autentifikation af brugere
med ekstern forbindelse
Formålet med kontrollen er
at sikre, at der anvendes
passende autentifikationsmetoder til at styre adgangen for brugere med fjernadgang.
12
13
Adgang til vores netværk og dermed potentielt til
systemer og data, skal ske for kun autoriserede
personer.
Adgang uden vores interne netværk, kan ske på
forskellig vis som afhænger af den enkelte aftale
med kunden. Der er mulighed for at logge på via
krypteret VPN-forbindelse hvor bruger skal have
brugernavn og kode for at logge på. Herudover har
visse kunder direkte adgang via MPLS eller Site2Site VPN.
Vi har forespurgt til retningslinjer for autentifikation af brugere med ekstern adgang.
11.4
11.4.2
Vi har inspiceret retningslinjer og dokumentation.
Beskyttelse af fjerndiagnoseog konfigurationsporte
Formålet med kontrollen er
at sikre, at fysisk og logisk
adgang til diagnose- og konfigurationsporte styres.
Vores netværk er komplekst med mange systemer
og kunder, og for at sikre mod uvedkommendes
adgang, og for at sikre gennemskueligheden af
opbygningen, har vi udformet en række dokumentation, der beskriver det interne netværk med
enheder, navngivning af enheder, logisk opdeling
af netværk mv. Dokumenterne, netværkstopologier
og lign opdateres løbende ved ændringer og gennemgås minimum årligt af vores netværksspecialister.
Vi har forespurgt til administrering og beskyttelse af netværket.
Opdeling af netværk
Formålet med kontrollen er
at sikre, at grupper af informationstjenester, brugere og
informationssystemer opdeles i netværk.
Vores miljø er adskilt logisk og opdelt i test og
produktion, hvorved vi sikre at have testet et produkt før det kommer i produktion. Via adgangskontroller sikrer vi at kun autoriseret personale har
adgang til dette.
Vi har forespurgt til opdeling af netværket hos
any.cloud.
REVI-IT A/S
Ingen væsentlige afvigelser
konstateret.
Ingen væsentlige afvigelser
konstateret.
11.4.4
Ingen væsentlige afvigelser
konstateret.
11.4.5
Vi har inspiceret de etablerede foranstaltninger.
Vi har inspiceret dokumentation for netværket.
Side 48 af 56
any.cloud A/S
14
Styring af netværksforbindelser
Formålet med kontrollen er
at sikre, at, for delte netværk,
især netværk der strækker sig
ud over virksomhedens
grænser, brugeres mulighed
for forbindelse til netværket
begrænses i overensstemmelse med politikken for
adgangsstyring og kravene til
de forretningsmæssige applikationer (se 11.1).
Styring af adgang til driftssystemer
16
Procedurer for sikker log-on
Formålet med kontrollen er
at sikre, at adgang til driftssystemer styres af en procedure for sikker log-on.
17
18
Se 11.4.2 og 11.4.4
Adgang uden vores interne netværk, kan ske på
forskellig vis som afhænger af den enkelte aftale
med kunden. Der er mulighed for at logge på via
krypteret VPN-forbindelse hvor bruger skal have
brugernavn og kode for at logge på. Herudover har
visse kunder direkte adgang via MPLS eller Site2Site VPN.
Vi har forespurgt til procedure for log-on.
Identifikation og autentifikation af brugere
Formålet med kontrollen er
at sikre, at alle brugere har en
unik identitet (bruger-ID) til
personlig brug, og der vælges
en passende autentifikationsteknik til verifikation af
en brugers påståede identitet.
Alle brugere skal være personhenførbare, dvs. have
tydligt mærke med personnavn. Er der tale om
servicebrugere, altså konti som alene benyttes
systemmæssigt, er muligheden for egentlig logon
deaktiveret.
Vi har forespurgt til identifikation og autentifikation af brugere.
System for administration af
adgangskoder
Formålet med kontrollen er
at sikre, at systemer til administration af adgangskoder
er interaktive og sikrer adgangskoder med god kvalitet.
Da vi har brugere, såsom service accounts og lign,
som ikke kan bruges til at logge på med, og af systemmæssige årsager ikke skifter passwords på,
har vi et system til opbevaring af disse passwords.
Kun autoriseret personale har adgang til systemet.
Vi har forespurgt til system for administrering af
koder.
REVI-IT A/S
11.4.6
Ingen væsentlige afvigelser
konstateret.
11.5
11.5.1
Vi har inspiceret procedurerne.
Ingen væsentlige afvigelser
konstateret.
11.5.2
Ingen væsentlige afvigelser
konstateret.
11.5.3
Vi har stiprøvevis inspiceret brugerne.
Vi har inspiceret det implementerede system.
Side 49 af 56
any.cloud A/S
20
21
Automatisk timeout
Formålet med kontrollen er
at sikre, at inaktive sessioner
lukkes ned efter et fastlagt
tidsrum uden aktivitet.
Alle interne brugerkonti er centralt styret til at gå
på skærmlås ved inaktivitet i 20 minutter. Dermed
sikrer vi, at uautoriseret personale ikke opnår adgang til fortroligt data.
Begrænsning af forbindelsestid
Formålet med kontrollen er
at sikre, at begrænsning af
forbindelsestider anvendes
til at give yderligere sikkerhed for applikationer med
høj risiko.
Styring af adgang til forretningssystemer og information
22
Begrænset adgang til inforVores medarbejdere er opsat med differentieret
mationer
adgang, og har således alene adgang til de systeFormålet med kontrollen er
mer og til de data, som er relevant for arbejdsindat sikre, at adgang for brugesatsen.
re og supportmedarbejdere
til informationer og forretVores kunders brugeradgange til kundens systeningssystemers funktioner
mer og data, bestemmes af vores kunder.
begrænses i overensstemmelse med den fastlagte
politik for adgangsstyring.
Mobilt udstyr og fjernarbejdspladser
24
Mobilt udstyr og kommuniVi har åbnet adgang til, at vi og vores kunder kan
kation
benytte mobile enheder (smartphones, tablets mv.)
Formålet med kontrollen er
til synkronisering af mails og kalender. Ud over
at sikre, at der er etableret en kode, har vi ikke implementeret andre sikkerhedsformel politik, og passende
foranstaltninger til sikring af disse enheder og
sikkerhedsforanstaltninger
disses brugeradgange.
er iværksat for at beskytte
Vores kunder har mulighed for samme, og det er op
mod de risici, som anvendeltil vores kunder at implementere deres sikkerse af mobilt udstyr og komhedspolitik for deres brugere.
munikationsudstyr indebærer.
REVI-IT A/S
Vi har forespurgt til automatisk timeout.
Ingen væsentlige afvigelser
konstateret.
11.5.5
Vi har inspiceret den etablerede løsning.
Se 11.5.5 og 11.3.2
11.5.6
Vi har forespurgt til begrænsninger af adgange
til informationer.
Ingen væsentlige afvigelser
konstateret.
Vi har forespurgt til styring af mobilt udstyr og
kommunikation.
Ingen væsentlige afvigelser
konstateret.
11.6
11.6.1
11.7
11.7.1
Side 50 af 56
any.cloud A/S
25
Fjernarbejdspladser
Formålet med kontrollen er
at sikre, at der udarbejdes og
implementeres en politik og
operationelle planer og procedurer for fjernarbejde.
Vores medarbejdere og eksterne samarbejdspartnere har adgang via fjernarbejdspladser hvor der
anvendes Remote Desktop og IP restriction.
Vi har forespurgt til anvendelse af fjernarbejdspladser.
Ingen væsentlige afvigelser
konstateret.
Anskaffelse, udvikling og vedligeholdelse af informationsbehandlingssystemer
Overordnet kontrolmål: At forhindre fejl, tab, uautoriseret ændring eller misbrug af informationer i forretningssystemer, beskytte fortrolighed, autenticitet og integritet af
informationer ved hjælp af kryptografiske metoder samt opretholde sikkerheden af systemsoftware og informationer i forretningssystemer.
Sikkerhedskrav til informationssystemer
Nr.
Kontrolmål
any.cloud A/S’ kontrolforanstaltning
01
Analyse og specifikation af
Vi vil sikre, at alle nyanskaffelser og implementesikkerhedskrav
ringer af servere, systemer, services og software
Formålet med kontrollen er
håndteres på struktureret og sikker vis, for dermed
at sikre, at virksomhedens
at sikre, at kun autoriseret ændringer bliver lagt i
krav og ønsker til nye såvel
produktion for at alle aspekter af nye tiltag (indsom bestående systemer skal fasning af ny hardwareplatforme, softwareplatindeholde krav til sikkerheforme og andre tilsvarende systemer og processer
den med udgangspunkt i en
forbundet med vores service) håndteres sikkert,
risikovurdering, jf. 4.1.
struktureret og risikoafvejet.
Sikring af systemfiler
08
Styring af software på driftssystemer
Formålet med kontrollen er
at sikre, at der er etableret
procedurer for styring af
softwareinstallation og opdatering på driftssystemerne.
Vores driftssystem består af en kompleks konfiguration, og når vi planlægger ændringer heri – selv
når disse er af mindre karakter, men som kan have
en væsentlig påvirkning – drøftes det internt på
driftsmøder. Først herefter foretages ændringen,
efter godkendelse fra ledelsen.
11.7.2
ISO
27002
12
12.1
REVI-IT’s test
Vi har forespurgt til retningslinjer for analyse og
specifikation af sikkerhedskrav.
Resultat af test
Ingen væsentlige afvigelser
konstateret.
Vi har forespurgt til styring af software på driftssystemer.
Ingen væsentlige afvigelser
konstateret.
12.1.1
12.4
12.4.1
Ændringen sker i vores fastsatte servicevinduer, og
vi har forøget overvågning efter test og implementering. Vi planlægger samtidig et fallback scenarie,
og vi beskriver dels ændringen og opdaterer vores
dokumentation. Vi anvender samme procedure for
ændringer, om de er bestilt af vores kunder eller
interne ændringer.
REVI-IT A/S
Side 51 af 56
any.cloud A/S
Sikkerhed i udviklings- og hjælpeprocesser
11
Procedurer for styring af
ændringer
Formålet med kontrollen er
at sikre, at implementeringen
af ændringer styres ved
hjælp af formelle procedurer
for ændringsstyring.
13
Begrænsning af ændringer af
softwarepakker
Formålet med kontrollen er
at sikre, at ændringer af
softwarepakker vanskeliggøres, begrænses til nødvendige ændringer og at alle ændringer styres effektivt.
Styring af tekniske sårbarheder
16
Styring af tekniske sårbarheder
Formålet med kontrollen er
at sikre, at der indsamles
rettidig information om
tekniske sårbarheder i anvendte informationssystemer. Graden hvori virksomheden er udsat for sådanne
sårbarheder skal evalueres,
og der skal iværksættes passende foranstaltninger for at
håndtere den tilhørende
risiko.
REVI-IT A/S
Vores driftsmiljø er baseret på Microsoft-platforme
med virtuelle servere fra VMware. Vi stiller serverplatforme og terminalplatforme baseret på Microsoft Terminal Services til rådighed for vores kunder. I den forbindelse benytter vi ikke andre subsystemer eller tillægssystemer, der håndterer kryptering, anden håndtering af systemfiler, end de foranstaltninger og systemer, som vi benytter i Microsoft systemerne samt i de omkransende netværkssikkerhedssystemer.
Se 10.1.2
12.5
12.5.1
Se 12.4.1
12.5.3
Vi har forespurgt til styring af tekniske sårbarheder.
Ingen væsentlige afvigelser
konstateret.
12.6
12.6.1
Side 52 af 56
any.cloud A/S
Styring af sikkerhedshændelser
Overordnet kontrolmål: At sikre, at informationssikkerhedshændelser og svagheder i forbindelse med informationssystemer kommunikeres på en sådan måde, at der kan
iværksættes korrigerende handlinger rettidigt, samt sikre en ensartet og effektiv metode til styring af informationssikkerhedsbrud.
Rapportering af informationssikkerhedshændelser og svagheder
Nr.
Kontrolmål
any.cloud A/S’ kontrolforanstaltning
01
Rapportering af informatiVores hotline-system, hvori vi håndterer langt de
onssikkerhedshændelser
fleste sager for kunder og interne forhold, er samFormålet med kontrollen er
tidig vores system til håndtering af sikkerhedsat sikre, at informationssikhændelser. Heri kan vi eskalere forhold således, at
kerhedshændelser rapporteopgaver får højere prioritet end andre. Herudover
res ad passende ledelseskavil sikkerhedshændelser afstedkommet fra hhv.
naler så hurtigt som muligt.
egne observationer, alarmering ud fra log- og overvågningssystem, telefoniske henvendelser fra
kunder, underleverandører eller samarbejdspartnere, blive eskaleret fra vores hotline til driftsafdelingen med samtidig orientering til ledelsen.
02
Rapportering af sikkerhedssvagheder
Formålet med kontrollen er
at sikre, at alle medarbejdere,
underleverandører og eksterne brugere af informationssystemer og tjenester har
pligt til at notere og rapportere alle observerede svagheder eller mistanker om
svagheder i systemer og
tjenester.
Styring af informationssikkerhedsbrud og forbedringer
03
Ansvar og procedurer
Vores medarbejdere og eksterne samarbejdspartFormålet med kontrollen er
nere er, via de indgåede kontrakter og aftaler,
at sikre, at ledelsens ansvar
forpligtet til at anmeldelse enhver sikkerhedsog procedurer fastlægges for
hændelse til nærmeste leder, så der hurtigst muligt
at sikre hurtig, effektiv og
kan reageres på hændelsen og nødvendige tiltag
planmæssig håndtering af
kan udføres jf. de etablerede procedurer.
informationssikkerhedsbrud.
REVI-IT A/S
ISO
27002
13
13.1
REVI-IT’s test
Vi har forespurgt til rapportering af sikkerhedshændelser.
Resultat af test
Ingen væsentlige afvigelser
konstateret.
13.1.1
Vi har inspiceret procedurer og etableret løsning.
Se 13.1.1
Vi har forespurgt til ansvar og procedurer for
sikkerhedsbrud.
13.1.2
Ingen væsentlige afvigelser
konstateret.
13.2
13.2.1
Vi har inspiceret dokumentation.
Side 53 af 56
any.cloud A/S
Beredskabsstyring
Overordnet kontrolmål: At modvirke afbrydelser af forretningsaktiviteter og at beskytte kritiske forretningsprocesser mod virkningerne af større ned brud af informationssystemer eller katastrofer og at sikre rettidig retablering.
Informationssikkerhedsaspekter ved beredskabsstyring
Nr.
Kontrolmål
any.cloud A/S’ kontrolforanstaltning
REVI-IT’s test
Resultat af test
01
Inddragelse af informationsSkulle der opstå en nødsituation, har any.cloud A/S Vi har forespurgt til beredskabsstyring.
Ingen væsentlige afvigelser
sikkerhed i beredskabsstyudarbejdet en beredskabsplan. Beredskabsplanen
konstateret.
ringsprocessen
er forankret i it-risikoanalysen og vedligeholdes
Vi har inspiceret den udarbejdede beredskabsFormålet med kontrollen er
minimum årligt i forlængelse af udførelsen af
plan.
at sikre, at der udarbejdes og
analysen. Planen testes 1-2 gange årligt som en del
opretholdes en styret proces
af vores beredskab, så vi sikrer, at kunderne i
til beredskabsstyring i virkmindst muligt omfang vil opleve forstyrrelser i
somheden, som behandler de driften i forbindelse med en eventuel nødsituation.
krav til informationssikkerhed, der er nødvendige for
virksomhedens fortsatte
drift.
02
Beredskab og risikovurdering
Formålet med kontrollen er
at sikre, at hændelser, der kan
forårsage afbrydelser af
forretningsprocesser, identificeres sammen med sandsynligheden for og virkningen af sådanne afbrydelser
og deres konsekvenser for
informationssikkerheden.
REVI-IT A/S
Via vores medlemskab af BFIH (Brancheforeningen
for IT-hostingvirksomheder i Danmark), er vi forpligtet til, at vi inden for 3 dage kan retablere enhver enhed i vores datacenter. Dette sikrer vi ved,
at vi har afvejet risici, klassificeret enheder i vores
driftsapparat, og har procedurer der sikrer, at vi i
vores beredskabsplanlægning kan foretage udskiftning af vores driftsplatform, så de leverede
ydelser vil retableres rettidigt.
Vi har forespurgt til håndtering af risici og beredskab.
Ingen væsentlige afvigelser
konstateret.
ISO
27002
14
14.1
14.1.1
14.1.2
Vi har inspiceret risikoanalysen og beredskabsplanen.
Side 54 af 56
any.cloud A/S
03
Udvikling og implementering
af beredskabsplaner, herunder informationssikkerhed
Formålet med kontrollen er
at sikre, at der udarbejdes og
implementeres planer for at
vedligeholde eller retablere
virksomhedens aktiviteter og
sikre tilgængelighed af informationer på det krævede
niveau og inden for de krævede tidsfrister efter afbrydelse eller nedbrud af kritiske
forretningsprocesser.
Se 14.1.1
14.1.3
04
Rammer for beredskabsplanlægning
Formålet med kontrollen er
at sikre, at der opretholdes en
enkelt ramme for beredskabsplaner for at sikre, at
alle planer er overensstemmende, at krav til informationssikkerhed håndteres
konsekvent, og at prioriteringen af test og vedligeholdelse fastlægges.
Se 14.1.1
14.1.4
05
Prøvning, vedligeholdelse og
revurdering af beredskabsplaner
Formålet med kontrollen er
at sikre, at beredskabsplaner
afprøves og opdateres regelmæssigt for at sikre, at de
er tidssvarende og effektive.
REVI-IT A/S
Planen testes 1-2 gange årligt som en del af vores
beredskab, så vi sikrer, at kunderne i mindst muligt
omfang vil opleve forstyrrelser i driften i forbindelse med en eventuel nødsituation.
Vi har forespurgt til afprøvning af beredskab.
Ingen væsentlige afvigelser
konstateret.
14.1.5
Vi har inspiceret dokumentation for afprøvning
af beredskab.
Side 55 af 56
any.cloud A/S
Overensstemmelse med love og interne politikker
Overordnet kontrolmål: At undgå brud på love, lovbestemte, forskriftsmæssige eller kontraktlige forpligtelser og på sikkerhedskrav, sikre, at systemer opfylder kravene i
virksomhedens sikkerhedspolitikker og sikkerhedsstandarder samt sikre, at systemer opfylder kravene i virksomhedens sikkerhedspolitikker og sikkerhedsstandarder.
Overensstemmelse med sikkerhedspolitikker og sikkerhedsstandarder samt teknisk overensstemmelse
Nr.
Kontrolmål
any.cloud A/S’ kontrolforanstaltning
REVI-IT’s test
07
Overensstemmelse med
Vi har en intern kontrol, hvor vi årligt undersøger,
Vi har forespurgt til kontroller for overensstemsikkerhedspolitikker og sikom de etablerede politikker og retningslinjer overmelse med interne politikker og procedurer.
kerhedsstandarder
holdes af medarbejderne. Derudover har vi en
Formålet med kontrollen er
kontrol der sikrer, at vores udstyr, såsom servere,
Vi har inspiceret de etablerede kontroller.
at sikre, at ledere sikrer, at
databaser, netværksudstyr mm., er sat op jf. vores
alle sikkerhedsprocedurer
baselines.
inden for deres ansvarsområde efterleves korrekt for at
opnå overensstemmelse med
sikkerhedspolitikker og sikkerhedsstandarder.
08
Kontrol af teknisk overensstemmelse
Formålet med kontrollen er
at sikre, at Informationssystemer kontrolleres regelmæssigt for overensstemmelse med sikkerhedsimplementeringsstandarder.
REVI-IT A/S
Vi har en intern kontrol, hvor vi årligt undersøger,
om de etablerede politikker og retningslinjer overholdes af medarbejderne. Derudover har vi en
kontrol der sikrer, at vores udstyr, såsom servere,
databaser, netværksudstyr mm., er sat op jf. vores
baselines.
Vi har forespurgt til procedure for teknisk overensstemmelse.
ISO
27002
15
15.2
Resultat af test
Ingen væsentlige afvigelser
konstateret.
Ingen væsentlige afvigelser
konstateret.
15.2.1
15.2.2
Vi har inspiceret proceduren.
Side 56 af 56