ISMS-Anwendungsbereichs
Formulierung des ISMS-Anwendungsbereichs
Nachweise
Das Informationssicherheits-Managementsystem (ISMS) der CSS AG umfasst den zentralen Standort Künzell, Organisationseinheiten, Prozesse, Systeme und externen Infrastrukturkomponenten, die zur Entwicklung, Bereitstellung und dem Betrieb von Softwarelösungen sowie zur Erbringung von Payroll- und Beratungsdienstleistungen beitragen. Externe Dienstleister (z. B. Cloud- und Hosting-Provider) sind über ein strukturiertes Lieferantenmanagement in das ISMS eingebunden.
In Anbetracht gesetzlicher, amtlicher, vertraglicher und anderen Anforderungen wird der ISMS-Anwendungsbereich wie folgt festgelegt:
CSS AG Handelsregister: HRB 6718 Amtsgericht Fulda Umsatzsteuer-ID: DE 811 314 410
Hinweis Es wird der Begriff ‚CSS Gruppe‘ verwendet um eine zukünftige Erweiterung des ISMS-Anwendungsbereichs zu vereinfachen.
CSS AG Danziger Str. 4 36093 Künzell
Ausnahme Räumlichkeiten innerhalb des CSS-Gebäude am Standort Künzell untervermietet an FEGA & Schmitt Elektrogroßhandel GmbH.
Zur Bereitstellung und zum Betrieb von Anwendungen sowie zur Verarbeitung sensibler Informationen nutzt die Organisation sowohl Cloud-Dienste als auch Hosting-Infrastrukturen in externen Rechenzen-tren. Diese Komponenten unterliegen nicht der direkten physischen Kontrolle der Organisation, sind jedoch integraler Bestandteil der technischen Infrastruktur und werden über das Informationssicher-heits-Managementsystem (ISMS) angemessen berücksichtigt.
Folgende externe Infrastrukturkomponenten sind im Geltungsbereich enthalten:
Amazon Web Services (AWS): Nutzung von Infrastructure-as-a-Service (IaaS) für den Betrieb von Anwendungen und Datenver-arbeitung
Microsoft Azure und Microsoft 365: Nutzung von Cloud-Diensten für Plattformbetrieb, Kommunikation und Zusammenarbeit
Externes Rechenzentrum der Firma Datagroup Standort Frankfurt: Hosting von Systemen, die für den Betrieb geschäftskritischer Anwendungen erforderlich sind
Externes Rechenzentrum der Firma Equinix am Standort Frankfurt: Hosting von Systemen, die für den Betrieb geschäftskritischer Anwendungen erforderlich sind Diese Dienste werden durch ein strukturiertes Lieferantenmanagement in das ISMS eingebunden.
Folgende Organisationseinheiten sind im Anwendungsbereich enthalten
PRIMARY ASSETS
Im Rahmen des ISMS Scopes werden die folgenden Primary Assets definiert:
eGecko Das Softwareprodukt eGecko in seiner Gesamtheit inkl. des Entwicklungsprozesses ausschließlich der Softwareentwicklung von evidanza Synapse.
Managed Payroll Service Der von CSS angebotene Managed Service für Payroll Tätigkeiten bereitgestellt durch CSS-Consulting
Consulting Services CSS-Consulting Services mit dem Schwerpunkt Installation, Konfiguration und Setup von eGecko und evidanza Installationen
Managed Hosting Bereitstellung einer Managed Infrastruktur für Kunden mit dem Ziel eGecko oder evidanza Synap-se zentral außerhalb der Kundenumgebung zu betreiben entweder auf AWS oder aber im Datacenter der Datagroup.
Sämtliche intern betriebene IT-Systeme, Netzwerke und Anwendungen, die zur Verarbeitung, Speicherung und Übertragung von Informationen beitragen. Dazu zählen u. a. Server, Clients, Netzwerkkomponenten, interne Datenbanken und Applikationen. Extern betriebene Infrastrukturkomponenten (z. B. Cloud-Dienste, Rechenzentren) sind separat beschrieben und über das Lieferantenmanagement in das ISMS eingebunden.
Folgende Organisationseinheiten sind nicht Teil des ISMS-Anwendungsbereichs:
Darüber hinaus sind alle Standorte außerhalb des Hauptstandorts Künzell vom ISMS-Anwendungsbereich ausgeschlossen, da dort keine ISMS-relevanten Assets oder Prozesse betrieben werden. Diese Standorte haben keinen Einfluss auf die im Scope definierten Services und Prozesse.
Begründung:
Blumatix Intelligence GmbH betreibt ein eigenes ISMS und wird nicht in den Scope integriert.
CSS BidCo GmbH ist eine Holdinggesellschaft ohne operative ISMS-relevante Prozesse.
evidanza GmbH entwickelt ein Produkt, das in eGecko integriert werden kann und im Hosting betrieben wird. Die Entwicklung und das eigenständige Hosting von evidanza sind derzeit nicht im Scope, da sich die Gesellschaft in einer Prozessharmonisierung mit CSS befindet.
Hinweis Sämtliche Richtlinien und ISMS Prozesse finden bereits heute Anwendung auf evidanza. Eine formale Einbeziehung von evidanza in den ISMS-Anwendungsbereich ist im Rahmen einer der nächsten Zertifizierungsaudits vorgesehen.