SENTIA DANMARK A/S ISAE 3402 TYPE 2 ERKLÆRING

Transkript

1 JANUAR 2017 SENTIA DANMARK A/S ISAE 3402 TYPE 2 ERKLÆRING Revisors erklæring vedrørende de generelle it-kontroller i tilknytning til driften af Sentia Danmarks hostingaktiviteter. Beierholm Statsautoriseret Revisionspartnerselskab Knud Højgaards Vej Søborg CVR-nr Tlf

2 Erklæringsopbygning Kapitel 1: Sentia Danmark A/S ledelseserklæring. Kapitel 2: Sentia Danmark A/S beskrivelse af de generelle it-kontroller for driften af hostingaktiviteter. Kapitel 3: Uafhængig revisors erklæring med sikkerhed om beskrivelsen af de generelle it-kontroller, deres udformning og funktionalitet. Kapitel 4: Revisors beskrivelse af kontrolmål, sikkerhedstiltag, test og resultater heraf. /2

3 KAPITEL 1: Sentia Danmark A/S ledelseserklæring Beskrivelsen af Sentia Danmark A/S generelle it-kontroller i kapitel 2 er udarbejdet til brug for kunder, der har anvendt eller påtænker at anvende Sentia Danmarks hostingaktiviteter, og deres revisorer, som har en tilstrækkelig forståelse til at overveje beskrivelsen sammen med anden information, herunder information om kontroller, som kunderne selv har anvendt, ved vurdering af risiciene for væsentlig fejlinformation i deres regnskaber. Sentia Danmark A/S bekræfter hermed, at (A) Den medfølgende beskrivelse, kapitel 2, giver en retvisende beskrivelse af Sentia Danmark hostingaktiviteters generelle it-kontroller i hele perioden 1. januar december Kriterierne for dette udsagn er, at den medfølgende beskrivelse: (i) redegør for, hvordan kontrollerne var udformet og implementeret, herunder redegør for: de typer af ydelser, der er leveret, når det er relevant de processer i både it- og manuelle systemer, der er anvendt til styring af de generelle it-kontroller relevante kontrolmål og kontroller udformet til at nå disse mål kontroller, som vi med henvisning til systemets udformning har forudsat ville være implementeret af Sentia Danmark A/S, og som, hvis det er nødvendigt for at nå de kontrolmål, der er anført i beskrivelsen, er identificeret i beskrivelsen sammen med de specifikke kontrolmål, som vi ikke selv kan nå andre aspekter ved vores kontrolmiljø, risikovurderingsproces, informationssystem og kommunikation, kontrolaktiviteter og overvågningskontroller, som har været relevante for de generelle itkontroller (ii) indeholder relevante oplysninger om ændringer i Sentia Danmark A/S generelle it-kontroller foretaget i perioden 1. januar december 2017 (iii) ikke udelader eller forvansker oplysninger, der er relevante for omfanget af de beskrevne kontroller under hensyntagen til, at beskrivelsen er udarbejdet for at opfylde de almindelige behov hos en bred kreds af kunder og deres revisorer og derfor ikke kan omfatte ethvert aspekt ved kontroller, som den enkelte kunde måtte anse som vigtig efter deres særlige forhold. (B) de kontroller, der knytter sig til de kontrolmål, der er anført i medfølgende beskrivelse, var hensigtsmæssigt udformet og fungerede effektivt i hele perioden 1. januar december Kriterierne for dette udsagn er, at: (i) de risici, der truede opnåelsen af de kontrolmål, der er anført i beskrivelsen, var identificeret (ii) de identificerede kontroller ville, hvis anvendt som beskrevet, give høj grad af sikkerhed for, at de pågældende risici ikke forhindrer opnåelsen af de anførte kontrolmål, og (iii) kontrollerne var anvendt konsistent som udformet, herunder at manuelle kontroller blev udført af personer med passende kompetence og beføjelse i hele perioden 1. januar december 2017 (C) den medfølgende beskrivelse og de tilhørende kriterier for opnåelse af kontrolmål og kontroller, kapitel 2, er udarbejdet med baggrund i overholdelse af Sentia Danmark standardaftale, grundlaget for hostingaktiviteter og ydelser omkring de generelle it-kontroller. Kriterierne for dette grundlag var: (i) Service Level Agreement for Drift version 1.8 (ii) Service Level Agreement for Hosting version 1.7 (iii) IT-sikkerhedspolitik version 2017 Glostrup, den 5. januar 2018 Michael Meister, Adm. direktør Sentia Danmark A/S, Smedeland 32, DK-2600 Glostrup, Tel (+45) , CVR: /3

4 KAPITEL 2: Sentia Danmark A/S beskrivelse af de generelle it-kontroller i tilknytning til driften af hostingaktiviteter Indledning Formålet med nærværende virksomhedsbeskrivelse er, at levere information og indsigt til Sentia Danmarks kunder og deres revisorer vedrørende de generelle it-kontroller, der er tilknyttet it-driften af hostingaktiviteter. Rammen for erklæringen er ISAE 3402, som er den internationale revisorstandard for erklæringsopgaver om kontroller hos serviceleverandører. Beskrivelsen giver herudover information om de kontroller, der er anvendt for driften i Sentia Danmarks hostingaktiviteter i perioden fra 1. januar 2017 til 31. december Beskrivelse af Sentia Det tidligere Jaynet og Solido Hosting udgør i dag Sentia Danmark, med søsterselskaber i Holland og Belgien, som gør os til en af de virksomheder inden for vores område, som samlet set har den højeste kompetence med både et dansk og internationalt fodfæste. Sentia Danmark er en moderne IT- og infrastrukturvirksomhed, med fokus på Outsourcing & IT-drift, Hosting, Co-location, Netværk og IT-sikkerhed. Vi leverer samlede løsninger i Danmark og udlandet, til både private og offentlige virksomheder fra vores datacentre eller via cloudteknologier. I Sentia Danmark skræddersyer vi såvel simple som komplekse løsninger, ud fra indsigt i kundernes forretning og teknologierne på markedet. Med en høj grad af agilitet, kompetence og kvalitet har vi kunden i centrum samtidig med, at vi fokuserer på at være en betroet og fremtidsorienteret samarbejdspartner. Vi sikrer vores kunders IT-infrastruktur og data med gennemprøvede, solide og miljørigtige løsninger. Det giver vores kunder højest mulig tryghed til at fokusere og drive deres egen forretning. Sentia Danmark er ejet af hollandske Sentia. Med overtagelsen af Jaynet og Solido Hosting er Sentia etableret på det danske marked og har hovedkontor i Glostrup. Vi ejer selv vores datacenter, infrastruktur og landsdækkende fibernetværk/backbone, og skaber herigennem den stabilitet, sikkerhed og tryghed, der er essentiel i vores kunders hverdag. Sentia Danmark er blandt de førende IT-outsourcingleverandører i både Danmark, Belgien og Holland og vokser kraftigt på alle markeder. Vores ca. 400 medarbejdere arbejder hver dag målrettet med at sikre en driftssikker IT-infrastruktur for vores mange kunder, samt ikke mindst at reducere kompleksiteten og omkostningerne omkring IT. Vi er passionerede omkring tilfredshed, både for vores medarbejdere, men i særdeleshed også for vores kunder. Derfor måler vi mindst 1 gang årligt på den generelle tilfredshed blandt medarbejdere og kunder; men vi måler hver dag på, hvordan og hvor hurtigt vi servicerer vores kunder med de udfordringer, de betror os med. Det er essentielt for os, at vi altid er tæt på vores kunder, og ser den personlige relation som afgørende for vores succes i samarbejdet. /4

5 Vi investerer ressourcer i at lære vores kunders forretning at kende, hvilket giver os langt bedre indsigt og dermed mulighed for at rådgive præcist i forhold til ønsker, behov og økonomi. Vores fornemmeste opgave er at tilføre værdi, ikke kun med den rigtige løsning, men samtidigt også i hverdagen, hvor driftsstabilitet er livsnødvendig for langt de fleste virksomheder. Vi ønsker med agilitet og fleksibilitet i samarbejdet at være omdrejningspunktet for vores kunders IT-infrastruktur, også ved yderst forretningskritiske systemer. Omfang for denne beskrivelse Sentia Danmark er leverandør af services inden for IT. Kerneaktiviteten i Sentia Danmark er leverance af Hosting, IT-infrastruktur og driftsydelser. Overvågning og support er enten på kundens egen platform placeret i Sentias Danmark Data Center, eller på løsninger der afvikles på Sentia Danmarks egen infrastruktur, som kunden lejer sig ind på. Sentia Danmark har som leverandør ansvaret for at etablere og opretholde passende procedurer og kontroller med henblik på at finde og forebygge fejl for således at overholde de stillede krav i aftalerne. Det er netop denne kerneaktivitet, Hosting og IT-infrastruktur samt drift og vedligeholdelse af dette, der danner grundlag for denne beskrivelse. I Sentia Danmark skræddersyr vi vores løsninger ud fra indsigt i kundernes forretning. Gennem fleksibilitet, kvalitet, økonomi og god service fokuserer vi på at være en betroet og fremtidsorienteret samarbejdspartner. Vi passer godt på vores kunders IT med solide og miljørigtige løsninger. Det giver vores kunder tryghed til at drive deres egen forretning. Vi er blandt de førende IT-outsourcingleverandører i Danmark. Vores dygtige medarbejdere er eksperter og videnspiloter, der alle ved, hvor vigtig den personlige relation og tætte kontakt til vores kunder er. Vi sætter en ære i at skabe fleksible og fremtidssikrede løsninger til vores kunder, fordelt på vores fem produktgrupper: IT-drift, IT-sikkerhed, Hosting, Netværk og Telefoni. Forretningsstrategi/ IT-sikkerhedsstrategi Det er Sentia Danmarks strategi, at der i forretningen skal være indbygget den nødvendige sikkerhed, således at hverken kunder eller virksomheden selv påføres uacceptable risici. Formålet med Sentia Danmarks IT-sikkerhedsstrategi er, at sikre at Forudsætningerne for et sikkert driftsmiljø er til stede Platforme og data er beskyttet mod udefrakommende hændelser Systemer og data kan genetableres med forudsigelighed og efter kendte arbejdsgange Kunders data kun kan tilgås af Sentia Danmarks personale i forbindelse med udførelse af nødvendige opgaver At udelukkende autoriserede personer har adgang til driftsmiljøet, systemer og data Sentia Danmark arbejder med IT-sikkerhed på et forretningsstrategisk niveau. Der arbejdes derfor løbende med, at sikre et højt service- og kvalitetsniveau. Ledelsen prioriterer gennem selskabets sikkerhedspolitik, at IT-sikkerhed skal være, og er, en vigtig del af selskabets virksomhedskultur. /5

6 Sentia Danmark har omkring IT-sikkerhedsstrategien valgt at tage udgangspunkt i ISO27002:2013, og har således brugt ISO-metodikken til at implementere de relevante sikringsforanstaltninger inden for følgende områder: Informationssikkerhedspolitikker Organisering af informationssikkerhed Medarbejdersikkerhed Styring af aktiver Adgangsstyring Fysisk sikkerhed og miljøsikring Driftssikkerhed Kommunikationssikkerhed Leverandørforhold Styring af informationssikkerhedsbrud Informationssikkerhedsaspekter ved nød-, beredskabs- og reetableringsstyring Se liste over de implementerede sikkerhedsforanstaltninger i bilag 1. Sentia Danmarks organisation og organisering af IT-sikkerheden Sentia Danmark beskæftiger ca. 55 medarbejdere og har en flad organisationsstruktur. Direktøren leder selskabet sammen med en ledergruppe, som er alle de navngivne personer på organisationsdiagrammet. Ved brug af eksterne samarbejdspartnere udarbejdes samarbejdsaftale, inden arbejdet påbegyndes. Organisationen ser ud som følger: Michael Meister adm. direktør Finans, Administration & Systemer Claus Kuno, Økonomidirektør Salg & Marketing Morten Jensen, Salg og Marketing direktør Debitor/Kreditor Business control/bi Hosting Nicki Bjerg Salgschef KAM team Facilities HR admin Partnere / V kunder Marketing System udvikling Michael Nielsen Systemudviklingschef Corporate & Business development Christer Hasse, director Drift René Nielsen IT driftschef Konsulent & Support Anders Osborn Afdelingschef PMO & Kvalitetsstyring Gitte T. Dahl Teamleder CTO Bo Erichsen Datacentre Service Delivery Mgmt Kim Søndergaard Konsulent afd. Lars Sommer NOC SMC Servicedesk Maria Osk Sigurdardottir konstitueret MAC/Web team Charles Lindsted /6

7 Risikostyring i Sentia Danmark Det er Sentia Danmarks politik, at de risici, der følger af virksomhedens aktiviteter, skal afdækkes eller begrænses til et sådant niveau, at virksomheden altid vil kunne opretholde en normal drift. Direktionen vurderer sammen med den øvrige ledelse, nøglepersoner og Hosting Facility Manager løbende risici og konsekvenser vedrørende Datacenteret, driftsmiljøet, applikationer, fysiske rammer m.v., både interne og eksterne faktorer. Vi gennemfører løbende risikoanalyse over de enkelte serviceydelsers forretningsmæssige påvirkning. I Datacenteret er der etableret et omfattende fysisk sikkerhedssystem, herunder personlig identifikation ved hjælp af irisscanning samt en række andre sikkerhedssystemer, som er beskrevet i virksomhedens kvalitetsstyringssystem, herunder adgangsforhold i Datacenteret. IT-infrastrukturen er logisk beskyttet med en opdateret firewall, antivirusprogrammer og spam-filtre, og den anvendte passwordpolitik på administrative systemer lever bl.a. op til praksis for komplekse kodeord. Som led i ovenstående IT-sikkerhedsstrategi arbejder Sentia Danmark med den danske/internationale standard for IT-sikkerhed - ISO27002:2013 som primær referenceramme for IT-sikkerheden. Arbejdsprocessen omkring IT-sikkerhed er en kontinuerlig og dynamisk proces, som sikrer, at vi til enhver tid er i overensstemmelse med vores kunders krav og behov. Sentia Danmark benytter sig af eksterne specialiserede partnere til at lave kvartalsreviews af netværket (pt. Conscia). Det udmønter sig i en kvartalsmæssig rapport med en prioriteret liste af aktionspunkter, der benyttes af den tekniske ledelse i Sentia Danmark samt af netværksafdelingen. Her prioriteres de opgaver, der skal implementeres først, for at sikre den fornødne oppetid og sikkerhedsmæssigt korrekte drift af netværket. Vi gennemfører risikostyring og interne kontroller på flere områder og niveauer. Et særligt team af nøglepersoner gennemfører f.eks. årligt en generel risiko- og trussels vurdering, hvor der er defineret kategorier af risici, som vi forholder os til. De risici der vurderes til at ligge over det ønskede niveau for kategorien, udløser en handlingsplan med konkrete opgaver med besluttet deadline - den handlingsplan følges der løbende op på. Denne handlingsplan godkendes i Ledergruppen, så viden er bredt så godt ud som muligt. Beredskabsplan (Disaster/Recovery Plan) I Sentia Danmark har vi en beredskabspolitik med tilhørende Disaster Recovery plan, hvor forskellige krisescenarier er beskrevet. Her er beredskabsorganisationen samt tilhørende opgaver defineret. Denne plan gennemgås en gang om året, hvor beredskabsorganisationen, krisescenarier og de tilhørende handlinger gennemgås. Målet er, at vi har en viden og dokumentation, som vil gøre arbejdet i en Disaster situation mere overskueligt. Alle ved, hvilke roller de har, og alle ved, hvad der forventes af dem, hvis der skulle opstå en situation, hvor beredskabsplanen skal i brug. Håndtering af IT-sikkerhed Ledelsen i Sentia Danmark har det daglige ansvar for IT-sikkerhed, og derved sikres det, at de overordnede krav og rammer er overholdt. Gennem IT-sikkerhedspolitikken har ledelsen beskrevet strukturen for IT-sikkerhed. IT-sikkerhedspolitikken skal som minimum revideres én gang årligt. I 2016 tilføjede vi i øvrigt et afsnit i Personalehåndbogen om IT-sikkerhed, så det er beskrevet - og ikke bare i overordnede termer - hvordan vi forventer alle medarbejdere forholder sig til IT-sikkerhed i hverdagen. Dette afsnit er bygget op som en håndbog med praktiske oplysninger inden for de forskellige områder inden for emnet. /7

8 Sentia Danmarks kvalitetsstyringssystem er defineret ud fra den overordnede målsætning om at levere stabil og sikker IT-drift til kunderne. For at kunne gøre det er det nødvendigt, at vi har indført politikker og procedurer, der sikrer, at vores leverancer er ensartede og gennemsigtige. Sentia Danmarks IT-sikkerhedspolitik er udarbejdet med reference til ovenstående, og er gældende for alle medarbejdere og for alle leverancer. Ved fejl eller sikkerhedsbrist i vores driftsmiljø udbedres fejlen/sikkerhedshullet omgående, og rette vedkommende informeres. Alle servere og netværksenheder er dokumenteret i Sentia Danmarks interne system for dette. Her logges alle ændringer. Konfigurationsfiler til netværksenheder (firewall, routere, switche og lignende) er registreret i et af vores dokumentationssystemer. Vi har dokumenterede forretningsgange for forebyggelse af angrebstruslen fra cyberkriminalitet som del af det samlede informationssikkerhedsarbejde, som dækker DDOS-angreb, antivirus/malware og Cryptolocker/Extortions (afpresning). IT-sikkerhedspolitikken sætter de grundlæggende politikker for Sentia Danmarks infrastruktur, og omhandler ikke forhold vedrørende specifikke produkter, ydelser eller brugere. Herudover medvirker den omtalte politik også til, at Sentia Danmark har ét fælles regelsæt for håndtering af it-sikkerhed. Dermed opnår vi et stabilt driftsmiljø og et højt sikkerhedsniveau. Vi foretager løbende forbedringer af både politikker, procedurer og den operationelle drift. HR, medarbejdere og uddannelse Alle udførende konsulenter har kompetencer inden for de områder, de beskæftiger sig med. Det dokumenteres bl.a. ved hjælp af relevante certificeringer fra teknologiudbyderne. Sentia Danmark skal leve op til en række krav fra Microsoft, herunder specifikke krav om, at et bestemt antal konsulenter har bestået bestemte produktcertificeringer, som løbende skal fornyes. Sentia Danmark sikrer via løbende produkttræning og kursusdeltagelse at opretholde denne høje certificeringsstatus. Brugerstyring/ adgangssikkerhed Vi har i 2017 indført en langt større detaljering i adgangsstyringen blandt personalet i Sentia Danmark, og dermed udbygget vores adgangssikkerhed. Dette gælder både fysisk og logisk. Dermed tager vi løbende stilling til, om vores ansatte fortsat skal have de adgange, de er tildelt. Den logiske sikring skal sikre, at kun autoriserede brugere har adgang til systemerne. Der er f.eks. specifikke krav til password og brug af pauseskærm, for at beskytte mod uautoriseret adgang. Fysisk sikkerhed og miljøsikring Ved at have et Datacenter i topklasse, hvor al hardware befinder sig på dansk grund, sikres det, at rammerne er rigtige for en sikker og stabil drift. Filosofien er at udvide og bygge efter behov. Fra starten til de nuværende mere end udnyttede m2, har vi konstant forbedret vores faciliteter, og vi har stadig flere kvadratmeter til rådighed. Skærpede krav til køling og strøm pga. øget efterspørgsel og servere, som fysisk bliver mindre pladskrævende, men bruger mere strøm pr. areal, har gjort, at vores setup skal være dynamisk og fremtidssikret. /8

9 Af øvrige krav til Datacenteret er bl.a. følgende: Automatiseret, redundant brandslukningsanlæg Redundant køling af datacentre Separat datacenter til backup Nødstrømsanlæg Redundante internetforbindelser fra to separate udbydere Man kan kun få adgang til Datacenteret, hvis følgende opfyldes: Man genkendes som person (irisscanning) Man har en fysisk, elektronisk nøglebrik Man kender pinkoden til brikken Ved indgangen til Datacenteret skal alle således igennem en personsluse, uanset tidspunkt på døgnet. Denne sluse sikrer, at kun personer godkendt af Sentia Danmark har adgang til Datacenteret. Slusen har biometrisk irisscanner og kontrollerer (vægt og rumfang), at der kun er én person i slusen af gangen. Ligeledes har man kun adgang til slusen, hvis man har valid nøglebrik og kode. Alle serverrum har individuelle adgangskontrolpaneler og tilhørende alarmsystemer, som deaktiveres ved brug af nøglebrik og kode. Kunder har kun adgang til datarum, hvor deres eget udstyr er placeret, og ligeledes kun adgang til eget serverskab, idet alle skabe er aflåst med individuelt Ruko nøglesystem. Alarmsystemet bliver aktiveret og deaktiveret via adgangspanelet ved indgangen til hver datarum. Og alle indgange/udgange herunder nødudgange har alarm, så Sentia Danmarks vagt bliver orienteret om uhensigtsmæssig åbning af døre og nøddøre. Vi har desuden fået monteret en indgangssluse ved hovedindgangen. Kunderne skal scanne deres adgangskort her. Gæster, både ved planlagt møde eller uanmeldt besøg, skal registreres på vores skærm. Det er med til at øge sikkerheden yderligere i forhold til, hvem der færdes i bygningen på Smedeland 32, 2600 Glostrup. Backup Sentia Danmark har etableret flere former for backupløsning og foretager løbende backup for de kunder, som har aftale med os herom. Ligeledes foretages løbende backup af egne platforme og driftsdata. Vi anvender underleverandør til sekundært site, hvor vi har lejet et Footprint til rackskabe, hvor servere med backupdata opbevares. Denne leverandør sørger for, at kun autoriserede personer har adgang. Sentia Danmark administrerer selv, hvem der har adgang til Sentia-ejet udstyr. Overvågning Sentia Danmark har etableret automatisk overvågning af servere, storagesystemer, netværk, m.v. og har 1. line supportpersonale på vagt 24/7/365. Ligeledes er 2nd og 3rd level support på vagt i en turnusordning således, at nødvendig kompetence er til rådighed 24/7/365. Hvis en fejl konstateres, afsendes alarm både visuelt på en overvågningsskærm og på /sms. Opstår en situation, hvor der konstateres en fejl på en komponent, der ikke er en del den automatiske overvågning, tages der skridt til, at den fremover registreres i systemet. Datacenteret overvåges med hensyn til strømafbrydelser, temperatur, brand, vand og luftfugtighed. Hele Datacenteret er i øvrigt kameraovervåget. Hvis der sker hændelser, som kan påvirke driften, vil overvågningssystemet automatisk alarmere vagtberedskabet, og der forefindes en indarbejdet procedure for eskalation, hvor den adm. direktør også involveres. Listen over personer med adgang til Datacenteret revideres løbende jf. procedure herfor. /9

10 Patch management Formålet med patch management er at sikre, at alle relevante opdateringer som patches, fixes og service packs fra leverandører implementeres for at sikre systemerne mod nedetid og uautoriseret adgang, og at implementeringen sker på kontrolleret vis. Alle servere med adgang fra internettet og terminalservere med Windows, opdateres automatisk om natten, mens alle andre servere opdateres manuelt en gang månedligt. Der er udarbejdet en patchplan, hvor der er aftalt specifikke servicevinduer med den enkelte kunde, hvor disse opdateringer finder sted. Sentia Danmark har udarbejdet en Fall-back-plan i forbindelse med patch management. Formålet med Fall-back-planen er at sikre, at systemerne kan komme tilbage i normal drift, hvis opdateringen ikke virker efter hensigten. Change management Vi har implementeret en proces for Major Changes i Sentia Danmark. Den benytter vi, når vi skal udføre en ændring, som berører flere kunder, f.eks. i vores netværksinfrastruktur. Her har vi behov for først at varsle kunderne efter givne regler, dernæst beskrive og teste ændringen dette skal gøres af mere end én person. Der skal være en beskrevet Fall-back-proces, og vi skal forholde os til risici ved ændringen. Alt dette holdes der styr på i en dokumenteret proces. Styring af IT-sikkerhedshændelser Sikkerhedshændelser og svagheder i Sentia Danmarks systemer skal rapporteres på en sådan måde, at det er muligt at foretage korrektioner rettidigt. Alle medarbejdere i Sentia Danmark er bekendt med procedurerapportering af forskellige typer hændelser og svagheder, der kan have indflydelse på driftssikkerheden. Sikkerhedshændelser og svagheder skal hurtigst muligt rapporteres til ledelsen. Ledelsen har ansvaret for at definere og koordinere en struktureret ledelsesproces, der sikrer en passende reaktion på sikkerhedshændelser. GxP - Good Practise Sentia Danmark er GxP Compliant. GxP betyder Good Practise for kvalitets- og regelstyring. Disse GxP retningslinjer bliver anvendt i mange forskellige brancher. Især medicinal- og fødevareindustrien benytter dem og kræver, at deres samarbejdspartnere overholder og efterlever disse retningslinjer. Formålet er at sikre, at vores IT-løsninger opfylder en række kvalitetskrav. De mest centrale aspekter i GxP er dokumentation, ansvarlighed, sporbarhed og sikkerhed. For at opnå en vellykket GxP audit, er det nødvendigt at kunne dokumentere arbejdsprocesser og ansvaret for udførelsen af disse. Når man arbejder efter Good Practise, er det afgørende, at metoder og teknikker er godkendt, og at dokumentation af disse er på plad, så vi dermed kan levere en optimal IT-løsning, der lever op til alle kvalitets- og sikkerhedskrav. Vi blev auditeret af en grundig senior auditør fra Frankrig, som i over 25 år har gennemført tilsvarende forløb rundt om i hele verden. Væsentlige ændringer i perioden Jaynet og Solido Hosting blev i starten af året fusioneret og har siden udgjort Sentia Danmark. Vi har hovedkontor i Glostrup, hvor alle medarbejdere er samlet. Det er vores hensigt at videreføre det bedste af: de tekniske platforme, produkter, interne værktøjer, politikker, processer og arbejdsgange fra de to virksomheder ud fra en ny fælles strategi, og vi er ganske langt hermed. Vi kom tidligt på året på plads med at samle alle kontrakter i samme kundedatabase, og således er kontraktadministration, herunder arbejdsgange i finans (fakturering m.v.) ensrettet. /10

11 Det tekniske område er siden sommer samlet i en organisation med ensartede arbejdsgange, service operations systemer og dokumentation. De tekniske platforme er ganske ensartede, med en intel-baseret server-infrastruktur, storage-infrastruktur bestående af NAS og SAN og en netværksinfrastruktur, som ligeledes fungerer efter ens principper. Der er ligeledes foretaget en ensretning af den SLA, som er under implementering, og som vi fremadrettet vil levere under. Vi er derfor godt på plads med den ensartede, høje standard på Compliance i hele virksomheden, uanset at der fortsat er nogle ensretninger, som forestår. Vi har, samtidig med sammenlægningen af vores to virksomheder, arbejdet videre på at forbedre processer og procedurer for at højne IT-sikkerheden. Vi arbejder målrettet med risikovurderinger og følger op på de handlinger, der skal til, for at minimere de risici, hvor ledergruppen vurderer, at den samlede risikofaktor er højere, end vi ønsker den. Vi har øget træningen blandt medarbejderne, hvilket betyder, at vi tager individuelt stilling til, hvem der skal forholde sig til hvilke dokumenter og bekræfte, at de er bekendt med indholdet. Dette for at øge opmærksomheden omkring politikker og procedurer, og dermed den enkelte medarbejders ansvar for, at disse overholdes. Kundernes ansvar (komplementerende kontroller hos kunderne) Denne beskrivelse er baseret på ovennævnte ramme, hvilket betyder, at der ikke tages højde for den enkelte kundes aftale. Ansvaret for de forretningssystemer og brugersystemer, som drives via Sentia Danmarks hostingydelser, er kundernes eget ansvar. Kunderne har ansvaret for at sikre de nødvendige kontroller i forbindelse med systemudvikling, anskaffelse og ændringshåndtering. Sentia Danmark er ikke ansvarlig for adgangsrettigheder, herunder tildeling, ændring og nedlæggelse, i forhold til den enkelte kundes brugere og deres adgange til Sentia Danmarks hostingaktiviteter. Kunden er selv forpligtiget til at sikre de nødvendige kontroller i tilknytning til dette kontrolmål. I forbindelse med håndteringen af passwordsikkerheden er revisionen udført ud fra et generelt perspektiv. For nogle brugervirksomheder kan sikkerheden omkring passwordopbygningen ligge under rammen, såfremt ledelsen hos kunden har ønsket det. Ansvaret for afstemning af passwordsikkerheden ligger hos den enkelte brugervirksomhed og hos dem, som anvender denne erklæring. Kunderne er ansvarlige for datatransmission til Sentia Danmarks hostingaktiviteter, og det er kundernes ansvar at skabe den nødvendige datatransmission til Sentia Danmarks Datacenter. Kunden skal selv sikre de nødvendige kontroller i tilknytning til dette kontrolmål. Sentia Danmarks beredskabsstyring er konstrueret omkring en overordnet beredskabsplan, som beskriver tilgangsmåde og handlinger ved behov for reetablering af Sentia Danmarks hostingaktiviteter. Der kan udarbejdes specifikke beredskabsplaner for den enkelte kunde efter behov i forhold til risiko ved afbrydelse i forretningsprocesser. /11

12 BILAG 1: Sentia Danmark A/S har arbejdet med følgende kontrolmål og sikkerhedsforanstaltninger fra ISO27002: Informationssikkerhedspolitikker 5.1. Retningslinjer for styring af informationssikkerhed 6. Organisering af it-sikkerhed 6.1. Intern organisering 6.2. Mobilt udstyr og fjernarbejdspladser 13. Kommunikationssikkerhed Styring af netværkssikkerhed 15. Leverandørforhold Informationssikkerhed i leverandørforhold Styring af leverandørydelser 7. Medarbejdersikkerhed 7.1. Før ansættelsen 7.2. Under ansættelsen 7.3. Ansættelsesforholdets ophør eller ændringer 8. Styring af aktiver 8.1. Ansvar for aktiver 8.3. Mediehåndtering 16. Styring af it-sikkerhedsbrud Styring af informationssikkerhedsbrud og forbedringer 17. Informationssikkerhedsaspekter ved nød-, beredskabs- og reetableringsstyring Informationssikkerhedskontinuitet Redundans 9. Adgangsstyring 9.1. Forretningsmæssige krav til adgangsstyring 9.2. Administration af brugeradgang 11. Fysisk sikkerhed og miljøsikring Sikre områder Udstyr 12. Driftssikkerhed Driftsprocedurer og ansvarsområder Malwarebeskyttelse Backup Logning og overvågning Styring af driftssoftware Sårbarhedsstyring /12

13 K APITEL 3: Uafhængig revisors erklæring med sikkerhed om beskrivelsen af de generelle it-kontroller, deres udformning og funktionalitet Til kunder af Sentia Danmark A/S hostingaktiviteter og deres revisorer Omfang Vi har fået som opgave at afgive erklæring om Sentia Danmark A/S beskrivelse i kapitel 2 (inkl. bilag 1), som er en beskrivelse af de generelle it-kontroller, som udføres i forbindelse med driften af Sentia Danmark A/S hostingaktiviteter til behandling af kunders transaktioner i perioden 1. januar december 2017, og om udformningen og funktionen af kontroller, der knytter sig til de kontrolmål, som er anført i beskrivelsen. Vores konklusion udtrykkes med høj grad af sikkerhed. Erklæringen er afgivet efter helhedsmetoden, hvilket betyder, at denne erklæring også omfatter de itsikkerhedsmæssige kontroller og kontrolaktiviteter, som er tilknyttet i forbindelse med anvendelse af eksterne samarbejdspartnere. Erklæringen dækker ikke kundespecifikke forhold. Desuden dækker erklæringen ikke de komplementerende kontroller og kontrolaktiviteter, som udføres af brugervirksomheden, jf. virksomhedsbeskrivelsen kapitel 2, afsnittet om komplementerende kontroller. Sentia Danmark A/S ansvar Sentia Danmark A/S er ansvarlig for udarbejdelsen af beskrivelsen og tilhørende udsagn i kapitel 2 (inkl. bilag 1), herunder fuldstændigheden, nøjagtigheden og måden, hvorpå beskrivelsen og udsagnet er præsenteret; for leveringen af de ydelser, beskrivelsen omfatter, for at anføre kontrolmålene samt for udformningen, implementeringen og effektivt fungerende kontroller for at nå de anførte kontrolmål. Beierholms uafhængighed og kvalitetsstyring Vi har overholdt kravene til uafhængighed og andre etiske krav i FSR s Etiske Regler, som er baseret på grundlæggende principper om integritet, objektivitet, faglige kompetencer og fornøden omhu, fortrolighed samt professionel adfærd. Vi anvender ISQC 1 og opretholder derfor et omfattende system for kvalitetsstyring, herunder dokumenterede politikker og procedurer for overholdelse af etiske regler, faglige standarder samt gældende krav ifølge lov og øvrig regulering. Revisors ansvar Vores ansvar er, på grundlag af vores handlinger, at udtrykke en konklusion om Sentia Danmark A/S beskrivelse samt om udformningen og funktionen af kontroller, der knytter sig til kontrolmål, der er anført i denne beskrivelse. Vi har udført vores arbejde i overensstemmelse med ISAE 3402, Erklæringer med sikkerhed om kontroller hos en serviceleverandør, som er udstedt af IAASB. Denne standard kræver, at vi overholder etiske krav samt planlægger og udfører vores handlinger for at opnå høj grad af sikkerhed for, om beskrivelsen i alle væsentlige henseender er retvisende, og om kontrollerne i alle væsentlige henseender er hensigtsmæssigt udformet og fungerer effektivt. En erklæringsopgave med sikkerhed om at afgive erklæring om beskrivelse, udformning og funktionalitet af kontroller hos en serviceleverandør omfatter udførelse af handlinger for at opnå bevis for oplysningerne i serviceleverandørens beskrivelse af sit system samt for kontrollernes udformning og funktionalitet. De valgte handlinger afhænger af serviceleverandørens revisors vurdering, herunder vurderingen af risiciene for, at beskrivelsen ikke er retvisende, og at kontrollerne ikke er hensigtsmæssigt udformet eller ikke fungerer effektivt. /13

14 Vores handlinger har omfattet test af funktionaliteten af sådanne kontroller, som vi anser for nødvendige for at give høj grad af sikkerhed for, at de kontrolmål, der er anført i beskrivelsen, blev nået. En erklæringsopgave med sikkerhed af denne type omfatter endvidere vurdering af den samlede præsentation af beskrivelsen, hensigtsmæssigheden i de heri anførte mål samt hensigtsmæssigheden af de kriterier, som Sentia Danmark A/S har specificeret og beskrevet i kapitel 2 (inkl. bilag 1). Det er Beierholms opfattelse, at det opnåede bevis er tilstrækkeligt og egnet til at danne grundlag for vores konklusion. Begrænsninger i kontroller hos Sentia Danmark A/S Sentia Danmark A/S beskrivelse er udarbejdet for at opfylde de almindelige behov hos en bred kreds af kunder og deres revisorer og omfatter derfor ikke nødvendigvis alle de aspekter ved systemet, som hver enkelt kunde måtte anse for vigtig efter deres særlige forhold. Endvidere vil kontroller hos Sentia Danmark A/S, som følge af deres art, muligvis ikke forhindre eller opdage alle fejl eller udeladelser ved behandlingen eller rapporteringen af transaktioner. Herudover er fremskrivningen af enhver vurdering af funktionaliteten til fremtidige perioder undergivet risikoen for, at kontroller hos serviceleverandører kan blive utilstrækkelige eller svigte. Konklusion Vores konklusion er udformet på grundlag af de forhold, der er redegjort for i denne erklæring. De kriterier, vi har anvendt ved udformningen af konklusionen, er kriterier, der er beskrevet i kapitel 1 i ledelsens erklæring. Det er vores opfattelse, a) at beskrivelsen af Sentia Danmark A/S generelle it-kontroller til hostingaktiviteter, således som de var udformet og implementeret i hele perioden 1. januar december 2017, i alle væsentlige henseender er retvisende, og b) at kontrollerne, som knyttede sig til de kontrolmål, der er anført i beskrivelsen, i alle væsentlige henseender var hensigtsmæssigt udformet i hele perioden 1. januar december 2017, og c) at de testede kontroller, som var de kontroller, der var nødvendige for at give høj grad af sikkerhed for, at kontrolmålene i beskrivelsen blev nået i alle væsentlige henseender, har fungeret effektivt i hele perioden 1. januar december Beskrivelse af test kontroller De specifikke kontroller, der er testet, samt arten, den tidsmæssige placering og resultater af disse test fremgår af kapitel 4. Tiltænkte brugere og formål Denne erklæring og beskrivelsen af test af kontroller under kapital 4 er udelukkende tiltænkt Sentia Danmark A/S kunder og deres revisorer, som har en tilstrækkelig forståelse til at overveje dem sammen med anden information, herunder information om kunders egne kontroller, når de vurderer risiciene for væsentlige fejlinformationer i deres regnskaber. Søborg, den 5. januar 2018 Beierholm Statsautoriseret Revisionspartnerselskab Kim Larsen Statsautoriseret revisor Jesper Aaskov Pedersen IT auditor, Manager /14

15 KAPITEL 4: Revisors beskrivelse af kontrolmål, sikkerhedstiltag, test og resultater heraf Vi har struktureret vores arbejde i overensstemmelse med IASE 3402 erklæring med sikkerhed om kontroller hos en serviceleverandør. For hvert kontrolmål indleder vi med et kort resumé af kontrolmålet, som det er beskrevet i referencerammen ISO27002:2013. Hvad angår periode har vi i vores test forholdt os til, om Sentia Danmark A/S har levet op til kontrolmålene i perioden 1. januar december Under det grå felt er tre kolonner: Første kolonne viser de aktiviteter, som Sentia Danmark A/S jf. sin dokumentation har iværksat for at leve op til kravene. Anden kolonne viser, hvordan vi har valgt at teste, om det forholder sig som beskrevet. Tredje kolonne viser resultatet af vores test. De udføre tests De udførte tests i forbindelse med fastlæggelsen af kontrollers design, implementering og operationelle effektivitet er foretaget ved metoderne beskrevet nedenfor. Inspektion Gennemlæsning af dokumenter og rapporter, som indeholder angivelse omkring udførelse af kontrollen. Dette omfatter bl.a. gennemlæsning af og stillingtagen til rapporter og anden dokumentation for at vurdere, om specifikke kontroller er designet, så de kan forventes at blive effektive, hvis de implementeres. Endvidere vurderes det, om kontroller overvåges og kontrolleres tilstrækkeligt og med passende intervaller. Forespørgsler Forespørgsel til passende personale hos Sentia Danmark A/S. Forespørgsler har omfattet, hvordan kontroller udføres. Observation Vi har observeret kontrollens udførelse. Genudføre kontrollen Gentaget den relevante kontrol. Vi har gentaget udførelsen af kontrollen med henblik på at verificere, at kontrollen fungerer som forudsat. /15

16 KONTROLMÅL - INDLEDNING: Risikovurdering og håndtering Risikovurdering skal identificere og prioritere risici med udgangspunkt i driften af hostingaktiviteter. Resultatet skal bidrage til at fastlægge og prioritere de nødvendige ledelsesindgreb og sikringsforanstaltninger for at imødegå relevante risici. Sentia Danmark A/S kontroller Revisors test af kontroller Resultat af test Gennem en risikovurdering er der sket identificering og prioritering af risici. Udgangspunkt for vurderingen er de i beskrivelsen definerede hostingaktiviteter. Resultatet bidrager til at fastlægge og prioritere de nødvendige ledelsesindgreb og sikringsforanstaltninger for at imødegå relevante risici. Vi har forespurgt og indhentet det relevante materiale ifm. revisionen af risikohåndteringen. Vi har kontrolleret, at der for hostingaktiviteter arbejdes med en løbende vurdering af den risiko, som opstår som følge af de forretningsmæssige forhold, og deres udvikling. Vi har kontrolleret, at risikovurderingen er forankret ned igennem de organisatoriske niveauer. Vi har kontrolleret, at der sker løbende behandling af virksomhedens risikobillede, og med dertil hørende løbende tilpasning af konsekvenser og sandsynlighed. /16

17 KONTROLMÅL 5: Informationssikkerhedspolitikker Ledelsen skal udarbejde en informationssikkerhedspolitik, som bl.a. skal indeholde ledelsens sikkerhedsmålsætning, -politik og overordnede handlingsplan. Informationssikkerhedspolitikken vedligeholdes under hensyn til den aktuelle risikovurdering. Sentia Danmark A/S kontroller Revisors test af kontroller Resultat af test Der er en skriftlig strategi, som bl.a. indeholder ledelsens sikkerhedsmålsætning, -politik og overordnede handlingsplan. It-sikkerhedspolitikken og de tilhørende støttepolitikker er godkendt af virksomhedens ledelse, og efterfølgende forankret ned gennem virksomhedens organisation. Politikken er tilgængelig for alle relevante medarbejdere. Politikken revurderes iht. planlagte intervaller. Vi har indhentet og revideret Sentia Danmark A/S seneste it-sikkerhedspolitik. Gennem revisionen har vi kontrollet, at der sker løbende vedligeholdelse af it-sikkerhedspolitikken. Samtidig har vi ved revisionen kontrolleret, at de underliggende støttepolitikker er implementeret. Vi har kontrolleret, at politikken er godkendt og underskrevet af virksomhedens bestyrelse og direktion, og at den er gjort tilgængelig for medarbejderne via Sentia Danmark A/S intranet. /17

18 KONTROLMÅL 6: Organisering af informationssikkerhed Der skal etableres en styring af it-sikkerheden i virksomheden. Der skal være placeret et organisatorisk ansvar for it-sikkerheden med passende forretningsgange og instrukser. Den it-sikkerhedsansvarliges rolle skal bl.a. sikre overholdelse af sikringsforanstaltninger, herunder løbende ajourføring af den overordnede risikovurdering. Sentia Danmark A/S kontroller Revisors test af kontroller Resultat af test Der er placeret et organisatorisk ansvar for it-sikkerhed, og det er dokumenteret og implementeret. It-sikkerheden er koordineret på tværs af virksomhedens organisatoriske rammer. Der foreligger passende forretningsgange for medarbejdere omkring angivelse af tavshedserklæring. Gennem inspektion og test har vi sikret, at det organisatoriske ansvar for it-sikkerhed er dokumenteret og implementeret. Vi har kontrolleret, at it-sikkerheden er forankret på tværs af organisationen i forhold til hostingaktiviteter. Ved interview har vi kontrolleret, at den it-sikkerhedsansvarlige har kendskab til rollen og de tilhørende ansvarsområder. Gennem forespørgsler og stikprøve på ansættelsesaftale har vi kontrolleret, at medarbejdere i Sentia Danmark A/S er bekendte med deres tavshedspligt. Risici i relation til anvendelse af mobilt udstyr og fjernarbejdspladser er identificeret, og håndteretingen af sikkerhedsforholdene er passende. Det er kontrolleret, at der findes formelle politikker i forbindelse med anvendelse af mobilt udstyr og fjernarbejdspladser. Vi har stikprøvevis inspiceret, at politikken er implementeret i forhold til medarbejdere med mobilt udstyr. Ifm. anvendelsen af fjernarbejdspladser hos Sentia Danmark A/S har vi gennemgået, hvorvidt der er implementeret passende sikkerhedsforanstaltninger, således at området er afdækket i forhold til risikovurderingen for området. /18

19 KONTROLMÅL 7: Medarbejdersikkerhed Det skal sikres, at alle nye medarbejdere er opmærksomme på deres særlige ansvar og rolle i forbindelse med virksomhedens informationssikkerhed for derigennem at minimere risikoen for menneskelige fejl, tyveri, svindel og misbrug af virksomhedens informationsaktiver. Sentia Danmark A/S kontroller Revisors test af kontroller Resultat af test Via fastlagte arbejdsprocesser og procedurer er det sikret, at alle nye medarbejdere får oplyst deres særlige ansvar og rolle i forbindelse med ansættelse i Sentia Danmark A/S, herunder de fastlagte rammer for deres arbejde og den omkringliggende it-sikkerhed. Eventuelle sikkerhedsansvar er fastlagt og nærmere beskrevet gennem stillingsbeskrivelse og i form af vilkår i ansættelseskontrakten. Medarbejderne er bekendt med deres tavshedspligt via en underskrevet ansættelseskontrakt og via Sentia Danmark A/S personalepolitik. Vi har kontrolleret, at de af ledelsen udarbejdede forretningsgange og procedurer i forbindelse med ansættelse og ansættelsesophør er overholdt. Gennem stikprøver har vi testet, om ovenstående forretningsgange og procedurer er overholdt både i forhold til ansættelse og ansættelsesophør. Ved interview har vi kontrolleret, at væsentlige medarbejdere for hostingaktiviteter er bekendt med deres tavshedspligt. Vi har gennemgået centrale medarbejderes stillingsbeskrivelser, og efterfølgende testet den enkelte medarbejders kendskab til arbejdsmæssige roller og tilhørende sikkerhedsansvar. Revisionen har påset, at Sentia Danmark A/S personalepolitik er nemt tilgængelig, og har et afsnit omkring vilkår for fortrolighed, som følge af information opnået ifm. arbejde udført hos Sentia Danmark A/S. /19

20 KONTROLMÅL 8: Styring af aktiver Der skal være sikring og vedligeholdelse af den nødvendige beskyttelse af virksomhedens informationsaktiver, og alle virksomhedens fysiske og informationsrelaterede aktiver skal identificeres, og der skal udpeges en ansvarlig ejer. Virksomheden skal sikre, at informationsaktiver i forhold til hostingaktiviteter får et passende beskyttelsesniveau. Sentia Danmark A/S kontroller Revisors test af kontroller Resultat af test Alle informationsaktiver er identificeret, og der er etableret en ajourført fortegnelse over alle væsentlige aktiver. Der er udpeget en ejer for alle væsentlige aktiver i forbindelse med driften af hostingaktiviteter. Vi har gennemgået og kontrolleret virksomhedens centrale it-register for væsentlige it-enheder i tilknytning til driften af Sentia Danmark A/S hostingaktiviteter. Gennem observation og kontrol har vi kontrolleret relationer over til de centrale knowhowsystemer for driften af hostingaktiviteter. Vi har ved observationer og forespørgsler kontrolleret, at Sentia Danmark A/S overholder de væsentligste sikringsforanstaltninger for området i henhold til sikkerhedsstandarden. Informationer og data i relation til hostingaktiviteter og den efterfølgende drift af hostingcenter er klassificeret på grundlag af forretningsmæssig værdi, følsomhed og behovet for fortrolighed. Vi har kontrolleret, at der er passende opdeling og tilhørende procedurer/forretningsgange ifm. beskyttelse omkring ejerskab mellem applikationer og data samt øvrige enheder i forhold til Sentia Danmark A/S drift af hostingaktiviteter. Vi har kontrolleret, at kontrakter og SLA anvendes som et centralt værktøj til at sikre definition, adskillelse og afgrænsning mellem Sentia Danmark A/S ansvarsområder og overgangen til kundens ansvarsområde ifm. adgang til informationer og data. Derved påhviler der typisk kunden et eget ansvar med at sikre, at der er et passende beskyttelsesniveau på egne informationer og data. Der er procedurer for, hvorledes der skal ske destruktion af databærende medier. Vi har: forespurgt ledelsen om, hvilke procedurer/ kontrolaktiviteter der udføres. stikprøvevist gennemgået procedurerne for destruktion af databærende medier til bekræftelse af, at de er formelt dokumenterede. /20

21 KONTROLMÅL 9: Adgangsstyring At styre adgangen til virksomhedens systemer, informationer og netværk med udgangspunkt i de forretnings- og lovgivningsbetingede krav. At sikre autoriserede brugeres adgang og forhindre uautoriseret adgang. Sentia Danmark A/S kontroller Revisors test af kontroller Resultat af test Der foreligger dokumenterede og ajourførte retningslinjer for Sentia Danmark A/S adgangsstyring. Vi har: forespurgt ledelsen, om der er etableret procedurer for adgangsstyring i Sentia Danmark A/S. stikprøvevist påset, at procedurer for adgangsstyring eksisterer og er implementeret jf. Sentia Danmark A/S retningslinjer. gennem interview af nøglepersoner samt ved stikprøvevis inspektion påset, at adgangsstyring til driftsmiljøet følger Sentia Danmark A/S retningslinjer, og at autorisationer tildeles i henhold til aftale. Der er en formaliseret forretningsgang for tildeling og afbrydelse af brugeradgang. Tildeling og anvendelse af udvidede adgangsrettigheder er begrænset og overvåges. Vi har forespurgt ledelsen, om der er etableret procedurer for adgangsstyring i Sentia Danmark A/S. Vi har ved stikprøvevis inspektion påset, at der anvendes passende autorisationssystemer i relation til adgangsstyring i Sentia Danmark A/S. at den formaliserede forretningsgang for tildeling og afbrydelse af brugeradgang er implementeret i Sentia Danmark A/S systemer, og at der foretages løbende opfølgning på registrerede brugere. Interne brugeres adgangsrettigheder gennemgås regelmæssigt efter en formaliseret forretningsgang. Vi har ved stikprøvevis inspektion påset, at der eksisterer en formaliseret forretningsgang for opfølgning på kontrol af autorisationer i henhold til retningslinjerne, herunder: at der foretages løbende formel ledelsesmæssig opfølgning på registrerede brugere med udvidede rettigheder hver 3. måned. at der foretages løbende formel ledelsesmæssig opfølgning på registrerede brugere med almindelige rettigheder hver 6. måned. /21

22 Tildeling af adgangskoder styres gennem en formaliseret og kontrolleret proces, som bl.a. sikrer, at der sker skift af standardpassword. Vi har forespurgt ledelsen, om der er etableret procedurer for tildeling af adgangskoder i Sentia Danmark A/S. Vi har ved stikprøvevis inspektion påset, at der ved tildeling af adgangskode sker en automatisk systemmæssig kontrol af, at password skiftes ved første login. at standard password ved implementering af systemsoftware mv. skiftes. hvor dette ikke er muligt, at procedurer sikrer, at der sker manuelt skift af standardpassword. Adgange til operativsystemer og netværk er beskyttet med password. Der er opsat kvalitetskrav til password, således at der kræves en minimumslængde (8 tegn), ingen krav til kompleksitet, maksimal løbetid (max 90 dage), lige som password-opsætninger medfører, at password ikke kan genbruges (husker de seneste 24 versioner). Endvidere bliver brugeren lukket ude ved gentagne fejlslagne forsøg på login. Vi har forespurgt ledelsen, om der er etableret procedurer, der sikrer kvalitetspassword i Sentia Danmark A/S. Vi har ved stikprøvevis inspektion påset, at der er etableret passende programmerede kontroller for sikring af kvalitetspassword, der sikrer efterlevelse af politikker for: minimum længde for password maksimal levetid for password minimum historik for password lockout efter fejlede login forsøg /22

23 KONTROLMÅL 11: Fysisk sikkerhed og miljøsikring Der skal være beskyttelse af virksomhedens lokaler og informationsaktiver mod uautoriseret fysisk adgang samt fysiske skader og forstyrrelser. Der skal opbygges sikkerhedstiltag, som sikrer, at der undgås tab af, skader på eller kompromittering af virksomhedens informationsaktiver samt forstyrrelser af virksomhedens forretningsaktiviteter. Beskyttelsesforanstaltningerne skal også omfatte destruktion af forældet eller beskadiget udstyr samt sikring af nødvendige forsyninger som el, vand og ventilation samt kabelinstallationer. Sentia Danmark A/S kontroller Revisors test af kontroller Resultat af test Der er etableret en sikker fysisk afgrænsning, som beskytter de områder, hvorfra hostingaktiviteter driftes. De sikre områder er beskyttet med adgangskontrol, så kun autoriserede personer kan få adgang. Der er etableret overvågning af områder til af- og pålæsning samt øvrige områder, hvortil offentligheden har adgang. Jf. serviceleverandørers beskrivelse er den fysiske adgangssikkerhed bl.a. gennemgået og kontrolleret med udgangspunkt i de af ledelsen fastsatte krav jf. Sentia Danmarks Hosting Facility beskrivelse version 4.0. Vi har gennemgået og kontrolleret de fysiske adgange til begge datacentre, som bl.a. sikres via et nøglesystem kombineret med personlig kode, som sikrer begrænset adgang til Sentia Danmarks datacenter. Via besøg, interview og observation er det kontrolleret, at adgangen til begge Sentia Danmarks datacentre er i overensstemmelse med ovenstående forretningsgange omkring adgangsbegrænsning. Vi har stikprøvevis gennemgået procedurer for fysisk sikkerhed vedrørende sikrede områder for at vurdere, om adgang til disse områder forudsætter dokumenteret ledelsesmæssig godkendelse, samt at personer uden godkendelse til sikrede områder skal registreres og ledsages af medarbejder med behørig godkendelse. Vi har stikprøvevis gennemgået medarbejdere med adgang til sikre områder og påset, at de er oprettet i henhold til de fastlagte procedurer. Udstyr som er placeret i datacenter beskyttes mod fysiske trusler såsom brand, vandskade, strømafbrydelse, tyveri eller hærværk. Datacenteret er sikret mod forsyningssvigt som elektricitet, vand, varme og ventilation. Der er installeret udstyr til overvågning af indeklima, såsom luftfugtighed. Kabler til brug for datakommunikation og elforsyning er beskyttet imod uautoriserede indgreb. Vi har gennemgået og kontrolleret, at Sentia Danmarks datacenter overholder de af ledelsen fastsatte krav jf. Sentia Danmarks Hosting Facility beskrivelse version 4.0. Revisionen har kontrolleret overholdelsen af de nødvendige sikringsforanstaltninger jf. ISO afsnit 11 i forholdene til beskyttelse mod skader forårsaget af fysiske forhold som f.eks. brand, vandskade, strømafbrydelse, tyveri eller hærværk. /23