Se seneste erklæring her (pdf) - EG A/S

Kontrolmal: Adgangsstyring
Der er etableret:
• passende forretningsgange og kontroller for tildeling af opfolgning pa samt vedligeholdelse af adgangsrettigheder
til systemer og data
• logiske og fysiske adgangskontroller, som begrsenser risikoenfor uautoriseret adgang til systemer eller data
• fornodne logiske adgangskontroller, der underbygger den organisatoriske funktionsadskillelse.
Kontrolmal/Kontrol
Inddragelse af adgangsrettigheder
Brugerrettigheder til operativsystemer,
netvaerk, databaser og datafiler vedrorende
fratradte medarbejdere bliver
inaktiveret rettidigt.
Politik for anvendelse af netvaerkstjenester,
herunder autentifikation
af brugere med ekstern forbindelse
Datakommunikationen er tilrettelagt pa
en hensigtsmaessig made og er tilstraekkeligt
sikret mod risiko for tab af autenticitet,
integritet, tilgaengelighed samt
fortrolighed. Der benyttes SMS passcode,
token eller VPN, nar medarbejdere skal
tilga systemer udefra. Der er endvidere
foretaget en opdeling af netvaerk, hvor
dette er fundet nodvendigt eller aftalt
med kunden.
Styring af netvaerksforbindelser
Der udfores halvarlige penetrationstest
med en sikkerhedsscanner. Der udfores
test af udvalgte IP ranges, for at teste at
regler i firewall er sat rigtigt op.
Kontrolmal E.i: Adgangsstyring
Vi har forespurgt ledelsen om de procedurer/kontrolaktiviteter,
der udfores,
for at inddragelse af adgangsrettigheder
sker efter betryggende forretningsgange,
og at for der foretages opfolgning i
henhold til forretningsgangene pa de
tildelte adgangsrettigheder.
Vi har endvidere ved stikprovevis inspektion
kontrolleret, at de beskrevne
forretningsgange er overholdt for nedlagte
brugere pa systemer, samt at inaktive
brugerkonti deaktiveres ved fratraedelse.
Vi har forespurgt ledelsen om de procedurer/kontrolaktiviteter,
der udfores,
og paset, at der anvendes en passende
autentificeringsproces for driftsmiljoet.
Vi har ved stikprovevis inspektion kontrolleret,
at brugere identificeres og
verificeres, inden adgang gives, samt at
fjernadgangen er beskyttet af VPN.
Vi har ved inspektion konstateret, at
netvaerket er segmenteret i mindre net
ved hjaelp af VLANs og DMZs for at
reducere risikoen for uautoriseret adgang.
Vi har forespurgt ledelsen om de procedurer/kontrolaktiviteter,
der udfores,
for at styre netvaerksforbindelser.
Vi har ved inspektion konstateret, at
der er foretaget periodiske penetrationstest,
samt kontrolleret, at der er
taget stilling til konstaterede svagheder.
Vi har ved stikprovevis inspektion gennemgaet
firewallkonfiguration, og paset,
at reglerne i firewallen er sat hensigtsmaessigt
op.
Vi har ikke ved vores test konstateret
vaesentlige afvigelser.
Vi har ikke ved vores test konstateret
vaesentlige afvigelser.
Vi har ikke ved vores test konstateret
vaesentlige afvigelser.
18