以下是 Dlubal 为遵守第 5 条的规定而采取的主要措施。以及 DSGVO 第 32 条的规定。 但是，必须指出，并不是所有的安全措施都可以公开；特别是为了数据保护和安全起见，有必要放弃机密和详细的说明。
1 机密性（第 32 条第 1 款让。 b DSGVO）
1.1 物理访问控制
采取以下措施，以防止未经授权的人访问处理或使用个人数据的数据处理系统：
- 办公场所只能通过中央入口进入。 出入区域配有摄像机，并由接待人员负责。 如果没有工作人员在场，通道门会关闭，并配有相应的警笛。
- 服务器机房还永久上锁，只有授权人员才能进入。
- 根据需要对存储个人数据的 Dlubal 产品进行故障排除
- 此外，在公司内部的数据中心还通过多因素人员授权、与警察局联动的视频监控和电信网络等手段确保了服务器系统的安全。
1.2 访问控制电子化
为防止未经授权的人员使用数据处理系统而采取的适当措施：
- 只有 Dlubal 员工可以通过基于职责的 CRM 系统在必要的范围内访问数据，该系统可以通过配置权限进行管理。
- 这些员工具有基于职责的访问权限。
- 访问这些计算机时，需要输入用户名和密码 (活动目录)。
- 更高安全性的密码（结构、长度、到期日期）。
- 外部系统通过 ××× 隧道连接。 IP 白名单中只允许已知地址的访问。 所有外部通信均已加密。
- 各计算机系统内置有防病毒软件。
- 数据网络受到防火 墙的保护。
- 只有特别授权的人才能访问服务器系统。
1.3 内部访问控制
这些措施确保被授权的人只能访问其访问权限内的数据，并且在处理、使用和存储之后不可以未经授权的读取、复制、更改或删除：
- 权限： 所有服务的访问模型均为“默认情况下拒绝”。 只有获得授权的人员和组才拥有相应的访问权限。 * 每项服务的权限矩阵都受到监控，并可以导出到每项服务的管理面板中。 所有权限由系统管理员管理。 将系统管理员的数量减少到最少。
- 日志文件： 网络存储服务器具有审核日志，包括文件版本历史记录（CRUD）。 活动目录服务器会记录网络中对服务的每一个授权查询。
- 版本控制系统： 网络中的所有数据都通过 VSS 和 BTRFS Snapshot 受到保护。 数据库通过每小时抓取足够的数据来保护数据库的安全。
1.4 分离控制
为了不同的目的而准备的数据应该按照下列的措施分别进行处理：
- 在不同的系统或数据介质上的物理上独立的存储
- 创建授权方案
- 数据加密，数据加密目的相同
- 将目的属性/数据字段分配给数据集
- 建立数据库权限
- 根据能力和功能对客户数据进行逻辑分离
1.5假名和加密（让。 DSGVO;艺术。 DSGVO 25 (1)
在不咨询附加信息的情况下，单独存储附加信息并采取适当的技术和组织措施，对个人数据的处理方式使得无法识别该数据主体：
如果可能，对于相应的数据处理，个人数据的主要识别特征将从相应的数据应用中删除，并单独保存。
2 完整性 (Art. 32 Para.1 let. b DSGVO）
2.1 输入控制
采取何种措施可以检查和确定个人数据是否在数据处理系统中被输入、更改或删除，以及检查人员：
- 数据输入、更改和删除的记录
- 可通过个人用户名追踪、更改和删除数据
- 基于授权方案分配输入、更改和删除数据的权限
- 文件管理
2.2 数据传输控制
用于确保个人数据在电子传输过程中、运输过程中不被未经授权地复制、更改或删除的措施：
- 电子邮件服务器使用发件人策略框架 (SPF) 来防止未经授权使用我们的域。 这样，电子邮件收件人可以检查电子邮件是否来自授权的服务器。
- 电子邮件带有 DKIM 签名，以确保真实性。
- 敏感电子邮件还可以通过端到端加密进行加密。
- ftp 和 vpn 服务使用 ssl/tls 加密。
3 有效性和弹性 (Art. 32 (1) let. b DSGVO）
3.1 利用率控制
以下措施可确保个人数据免于意外破坏或丢失：
- 备份和恢复方案
- 不间断电源
- 硬盘镜像
- Raid 系统的使用
- 用于错误检测和纠正以及防止隐性数据丢失的 BTRFS 和 ReFS 数据系统
- 跨多个位置的 high-availability 集群以及数据和服务镜像
- 备份互联网连接和路由器，以防止长时间的停机
- 所有服务器上的 ECC 内存，用于检测内存错误、数据更改和数据丢失
- 每台服务器上都安装了 Microsoft System Data Protection Manager 代理
- 每天至少通过 DPM 存储备份一次
- Windows 备份 + iSCSI LUN
- 网络工具会监控重要的服务，并报告失败的服务、停机、DoS 和 DDoS 攻击。
- 受保护的服务器机房
- 机房保护套
- 由专业公司定期检查电气设备
- 火灾和火灾探测器，用于灭火设备
- 应急计划和危机管理
- 具有防病毒和检测、保护和防止登录功能的防火 墙(WA/Zywall Security Gateway)
- ESet Mail Security for exchange 保护电子邮件服务器免于垃圾邮件、病毒、勒索软件、垃圾邮件等的侵扰。
- 所有计算机上的 ESTA Security Antivirus 作为 Endpoint User Protection ESTA Remote Administration Console
- 用于保护网络服务器和存储的开源防病毒软件 Clamav
- 通过 WSUS 管理定期系统更新
- 所有计算机的 AD 组策略
3.2 可恢复性
为使个人数据在发生物理或技术故障后迅速恢复正常和可访问性而采取的措施： 所有数据都通过定期备份来防止丢失。 使用不同的工具可以在发生物理或技术故障时轻松恢复这些数据。 具体方法是：
- 备份和恢复方案
- 每天至少通过 DPM 存储备份一次
- Windows 备份 + iSCSI LUN
4 定期检查、评估和评估的程序 (第 32 (1) 条， d DSGVO ；艺术。 DSGVO 25 (1)
4.1 数据保护
- 数据保护方面的员工培训课程
- 员工对个人数据的机密处理的义务
- 指定数据保护官
- 关于处理个人数据的员工准则
- 保持处理活动的记录iSd DSGVO 第 30 条第 (1) 和 (2) 款
- 实施数据保护管理系统
4.2 应用程序控制
确保订单中处理的个人数据仅根据 Art. 5 条含义内客户的指示进行处理的措施。根据 DSGVO 中第 28 条的规定：
- 清除合同设计
- 正式的订单管理
- 选择承包商时经过深思熟虑
- 通过数据处理合同向承包商提供书面说明
- 承包商的保守义务
- 对承包商及其活动的持续监督
