Wirksamkeitsdatum: Oktober 2025
WorkTime ist eine datenschutzorientierte, nicht-invasive Mitarbeiterüberwachungssoftware, der von Organisationen weltweit vertraut wird.
Wir nehmen Sicherheit ernst und sind bestrebt, die Vertraulichkeit, Integrität und Verfügbarkeit aller Kundendaten und Unternehmensdaten aufrechtzuerhalten.
Diese Seite skizziert die Kernprinzipien und Praktiken, die unser Sicherheitsprogramm leiten.
1. Zweck und Umfang
Diese Sicherheitsrichtlinie definiert, wie WorkTime seine Systeme, Anwendungen und Kundendaten schützt.
Sie gilt für alle Mitarbeiter, Auftragnehmer und Drittanbieter-Dienstleister, die Zugriff auf WorkTime-Systeme oder -Daten haben.
2. Umfang
Dieser Plan gilt für alle WorkTime-Mitarbeiter, Auftragnehmer, Systeme, Anwendungen und Drittanbieter-Dienste, die an der Verarbeitung oder Speicherung von Unternehmens- oder Kundendaten beteiligt sind.
Er umfasst alle Vorfälle im Zusammenhang mit Informationssicherheit, Datenschutz und Dienstkontinuität.
3. Ziele
Schnelle Erkennung und Eindämmung von Sicherheitsvorfällen.
Genauere Bewertung des Umfangs und der Auswirkungen.
Zeitnahe Kommunikation mit betroffenen Stakeholdern und Kunden.
Vollständige Behebung und Dokumentation der Ursachen.
Prävention zukünftiger Vorfälle durch kontinuierliche Verbesserung.
4. Vorfall-Definition
Ein Sicherheitsvorfall ist jedes Ereignis, das die Informationssysteme oder Daten von WorkTime’s gefährden könnte, einschließlich, aber nicht beschränkt auf:
Unbefugter Zugriff oder Offenlegung von Daten.
Malware- oder Ransomware-Infektion.
Denial-of-Service (DoS)-Angriffe.
Verlust oder Diebstahl von Geräten, die sensible Daten enthalten.
Fehlkonfiguration, Datenkorruption oder versehentliche Löschung.
Verstoß gegen Datenschutzvorschriften (DSGVO, HIPAA, GLBA).
5. Lebenszyklus der Vorfallreaktion
5.1 Identifizierung
Überwachen Sie Systeme, Protokolle und Warnungen auf ungewöhnliche oder verdächtige Aktivitäten.
Empfangen Sie Berichte von Mitarbeitern, Kunden oder Drittanbieter-Lieferanten.
Klassifizieren Sie das Ereignis als vermuteten oder bestätigten Vorfall basierend auf Beweisen.
5.2 Eindämmung
Isolieren Sie betroffene Systeme, um laterale Bewegungen zu verhindern.
Deaktivieren Sie kompromittierte Konten oder Zugriffsdaten.
Erhalten Sie alle relevanten Protokolle und forensischen Daten.
5.3 Beseitigung
Entfernen Sie bösartigen Code, deaktivieren Sie Hintertüren und patchen Sie Schwachstellen.
Validieren Sie, dass Systeme sauber und sicher wiederherstellbar sind.
5.4 Wiederherstellung
Stellen Sie Systeme aus sauberen Backups wieder her.
Überwachen Sie wiederhergestellte Systeme auf Re-Infektion oder abnormes Verhalten.
Überprüfen Sie, dass Geschäftsfunktionen wieder normal sind.
5.5 Benachrichtigung und Kommunikation
Benachrichtigen Sie das leitende Management unmittelbar nach der Bestätigung.
Bei Vorfällen, die personenbezogene oder Kundendaten betreffen, benachrichtigen Sie die betroffenen Kunden innerhalb der gesetzlich vorgeschriebenen Fristen.
Falls zutreffend, benachrichtigen Sie Aufsichtsbehörden (z. B. gemäß DSGVO oder HIPAA-Verstoßregeln).
Alle Kommunikationen werden vom Sicherheitsbeauftragten und der Rechtsabteilung überprüft und genehmigt.
5.6 Nachbesprechung
Führen Sie eine Nachbesprechung innerhalb von 7 Werktagen nach der Auflösung durch.
Dokumentieren Sie Ursache, Auswirkungen und Korrekturmaßnahmen.
Aktualisieren Sie Richtlinien, Kontrollen und Schulungen bei Bedarf.
7. Schweregrad-Klassifizierung
Vorfälle werden als Kritisch, Hoch, Mittel oder Niedrig basierend auf Auswirkungen und Dringlichkeit klassifiziert, mit Reaktionszeiten von sofort bis zu einem Werktag.
8. Beweiserhaltung
Alle Protokolle, Warnungen und Systemabbilder im Zusammenhang mit einem Vorfall werden sicher für mindestens ein Jahr aufbewahrt.
Der Zugriff auf diese Beweise ist auf den Sicherheitsbeauftragten und autorisierte Ermittler beschränkt.
9. Kommunikationskanäle
Interne Berichte über den sicheren Slack-Kanal #security-alerts und E-Mail security@worktime.com.
Kundenbenachrichtigungen über offizielle WorkTime-Kommunikationskanäle und Konto-Kontakte.
Externe Kommunikationen nur über den bezeichneten PR- oder Rechtsvertreter.
10. Überprüfung und Test
Dieser Plan wird jährlich und nach jedem größeren Vorfall überprüft.
Tabletop- und SimulationsTests werden mindestens einmal pro Jahr durchgeführt, um die Bereitschaft zu validieren.
11. Compliance-Referenzen
Dieser Plan unterstützt die Einhaltung von:
SOC 2 Type II (Sicherheit, Verfügbarkeit und Vertraulichkeit)
DSGVO Artikel 33 (Meldung von Datenschutzverletzungen)
HIPAA 164.308(a)(6) (Verfahren bei Sicherheitsvorfällen)
GLBA Safeguards Rule
WorkTime — Datenschutzorientiert, Sicher, Nicht-Invasiv Mitarbeiterüberwachung
Wir schützen Ihre Daten genauso sorgfältig wie unsere eigenen.
