Informationssicherheitsrichtlinie

Zweck

Der Zweck dieses Dokuments besteht darin, das Engagement der Geschäftsführung für die Informationssicherheit zu demonstrieren und die übergreifenden Richtlinienerklärungen bereitzustellen, an die sich alle untergeordneten Richtlinien und Kontrollen halten müssen.

Politik

Der Vorstand und die Geschäftsführung von Gamecheck Limited mit Sitz im Madison Building Midtown, Queensway, GX11 1AA sind hauptsächlich in der Glücksspielbranche tätig.

Wir verpflichten uns, die Vertraulichkeit, Integrität und Verfügbarkeit aller physischen und elektronischen Informationen und informationsbezogenen Vermögenswerte zu wahren, um den Zweck und die Ziele der Organisation zu erreichen, wie in 4 „Kontext der Organisation“ zusammengefasst.

Wir verpflichten uns ausdrücklich dazu:

• Erfüllen Sie alle geltenden gesetzlichen, behördlichen, vertraglichen und gesetzlichen Anforderungen in Bezug auf die Informationssicherheit (einschließlich, aber nicht beschränkt auf DSGVO, DPA, PCI-DSS, NIST CSF, GRA und branchenspezifische Verpflichtungen ).
• Verbessern Sie unser ISMS kontinuierlich durch systematische Überprüfungen der Sicherheitsziele, interne Audits, Managementüberprüfungen und Korrekturmaßnahmen auf der Grundlage von Risikobewertungen und Leistungsbewertungen.

Die Anforderungen an Informationen und Informationssicherheit werden auf die Geschäftsziele der Organisation abgestimmt, wobei die internen und externen Probleme, die die Organisation betreffen, sowie die Anforderungen interessierter Parteien berücksichtigt werden.

Diese Richtlinie ist:

• Öffentlich für alle Interessierten verfügbar unter: www.gamecheck.com/security-policy
• Allen Mitarbeitern mitgeteilt durch:
• Obligatorisches Onboarding-Training
• Jährliche Programme zur Sensibilisierung für die Sicherheit
• Unternehmensweite Ankündigungen (E-Mail/Intranet)
• Uneingeschränkt zugänglich über unser Intranet und unsere ISMS-Plattform

ISMS-Implementierung

Unsere ISMS-Ziele werden gemäß den Anforderungen der ISO/IEC 27001 festgelegt und gemessen. Das System steuert Informationssicherheitsrisiken durch:

1. Online-Risikomanagement-Plattform zur Identifizierung, Bewertung und Kontrolle von Risiken
2. Anwendbarkeitserklärung zur Definition der Kontrollimplementierung
3. Aufsicht des Management Review Board über Risikobehandlungspläne
4. Projektspezifische Risikobewertungen bei Bedarf

Das ISMS ist als Mechanismus zur Verwaltung von Risiken im Zusammenhang mit der Informationssicherheit und zur Verbesserung der Organisation gedacht, um zur Erreichung ihres Gesamtzwecks und ihrer Ziele beizutragen.

Die Online-Plattformumgebung einschließlich unseres Risikomanagementansatzes bietet den Kontext für die Identifizierung, Beurteilung, Bewertung und Kontrolle informationsbezogener Risiken durch die Einrichtung und Aufrechterhaltung eines ISMS.

Der Ansatz zur Risikobewertung und zum Risikomanagement, die Erklärung zur Anwendbarkeit und die umfassenderen Anforderungen zur Erfüllung von ISO 27001 legen fest, wie mit der Informationssicherheit und den damit verbundenen Risiken umgegangen wird.

Die Kontrollziele für jeden dieser Bereiche werden durch spezifische dokumentierte Richtlinien und Verfahren in der Online-Umgebung unterstützt und stimmen mit den umfassenden Kontrollen überein, die in Anhang A der Norm ISO 27001 aufgeführt sind.

Compliance und Schulung

Alle Mitarbeiter und interessierten Parteien müssen diese Richtlinie einhalten. Die Einhaltung wird durch Folgendes sichergestellt:

• Rollenspezifische Sicherheitsschulungen
• ISMS-Kommunikationsforen
• Konsequenzen bei Nichteinhaltung (gemäß Verhaltenskodex)
• Fachschulungen für technisches Personal

Alle Mitarbeiter und relevanten Interessengruppen, die mit dem ISMS in Verbindung stehen, müssen diese Richtlinie einhalten. Für alle, die vom ISMS betroffen sind, stehen entsprechende Schulungen und Materialien zur Verfügung. Kommunikationsforen wie die ISMS-Kommunikationsgruppe sorgen für ein kontinuierliches Engagement.

Kontinuierlicher Verbesserungsmechanismus

Das ISMS unterliegt der Überprüfung und Verbesserung durch das Management Review Board. Den Vorsitz führt der Chief Information Security Officer (CISO). In dem Board sind laufend hochrangige Vertreter aus den entsprechenden Bereichen der Organisation vertreten. Weitere Führungskräfte/Spezialisten, die zur Unterstützung des ISMS-Frameworks und zur regelmäßigen Überprüfung der Sicherheitsrichtlinien und des umfassenderen ISMS benötigt werden, werden zu den Board-Sitzungen eingeladen und erledigen die erforderlichen Arbeiten. Diese werden gemäß dem Standard dokumentiert.

Das Management Review Board ist für die Gesamtverwaltung und Aufrechterhaltung des Risikobehandlungsplans verantwortlich. Spezifische Risikomanagementaktivitäten werden den jeweiligen Verantwortlichen innerhalb der Organisation zugewiesen. Bei Bedarf können zusätzliche Risikobewertungen durchgeführt werden, um geeignete Kontrollen für spezifische Risiken festzulegen, beispielsweise bei Sonderprojekten, die im Rahmen dieses Kontexts durchgeführt werden.

Das Management Review Board (unter Vorsitz des CISO):

• Führt halbjährliche ISMS-Leistungsüberprüfungen durch
• Führt jährliche interne Audits durch
• Implementiert Korrekturmaßnahmen innerhalb von 30 Tagen
• Aktualisiert die Sicherheitsziele vierteljährlich
• Behält die ISO 27001-Zertifizierung bei

Wir sind bestrebt, die Zertifizierung des ISMS nach ISO 27001 sowie andere relevante Akkreditierungen, für die unsere Organisation eine Zertifizierung beantragt hat, zu erreichen und aufrechtzuerhalten.

Diese Richtlinie wird regelmäßig und mindestens einmal jährlich überprüft, um auf etwaige Änderungen im Unternehmen, seiner Risikobewertung oder seinem Risikobehandlungsplan zu reagieren.

Definitionen

In dieser Richtlinie und den damit verbundenen Richtlinien in der Online-Umgebung, die unser ISMS beinhalten, wird „Informationssicherheit“ wie folgt definiert:

Konservierung 

Dies bedeutet, dass alle relevanten Beteiligten über ihre in ihren Stellenbeschreibungen oder Verträgen festgelegten Pflichten zur Einhaltung der ISMS-Anforderungen informiert sind und darüber informiert werden. Die Folgen einer Nichteinhaltung sind im Verhaltenskodex beschrieben. Alle relevanten Beteiligten erhalten Schulungen zum Thema Informationssicherheit, und spezialisiertere Mitarbeiter erhalten entsprechende Schulungen zum Thema Informationssicherheit.

die Verfügbarkeit

Dies bedeutet, dass Informationen und zugehörige Vermögenswerte bei Bedarf für autorisierte Benutzer zugänglich und somit physisch sicher sein müssen. Die Umgebung muss widerstandsfähig sein, und das Unternehmen muss in der Lage sein, Vorfälle oder Ereignisse, die die weitere Verfügbarkeit von Vermögenswerten, Systemen und Informationen gefährden, schnell zu erkennen und darauf zu reagieren.

Vertraulichkeit 

Dabei wird sichergestellt, dass die Informationen nur für autorisierte Personen zugänglich sind und dass sowohl vorsätzlicher als auch versehentlicher unbefugter Zugriff auf Informationen, geschütztes Wissen, Vermögenswerte und andere Systeme der Organisation und relevanter interessierter Parteien im Rahmen des Schutzes verhindert wird.

und Integrität

Hierzu gehört die Sicherung der Richtigkeit und Vollständigkeit von Informationen und Verarbeitungsmethoden und daher die Verhinderung einer absichtlichen oder versehentlichen, teilweisen oder vollständigen Zerstörung oder unbefugten Veränderung von physischen Vermögenswerten oder elektronischen Daten.

von Informationen und anderen relevanten Vermögenswerten

Die Informationen können digitale, gedruckte oder geschriebene Informationen auf Papier, auf beliebige Weise übermittelte oder in Gesprächen gesprochene Informationen sowie elektronisch gespeicherte Informationen umfassen. Zu den Vermögenswerten zählen alle informationsbasierten Verarbeitungsgeräte, die sich im Besitz der Organisation oder der relevanten interessierten Parteien befinden, sowie BYOD im Geltungsbereich, die organisationsbezogene Informationen verarbeiten.

unserer Organisation

Die Organisation und die relevanten interessierten Parteien, die in den Geltungsbereich des ISMS fallen, haben unsere Sicherheitsrichtlinie unterzeichnet und unser ISMS akzeptiert.

Dokumenteneigentümer und Genehmigung

Der CEO ist Eigentümer dieses Dokuments und dafür verantwortlich, dass dieses Richtliniendokument gemäß den Anforderungen der ISO 27001 überprüft wird. Eine aktuelle Version dieses Dokuments steht allen Mitarbeitern im ISMS-Kontrollumfeld zur Verfügung. Diese Informationssicherheitsrichtlinie wurde vom Management Review Board genehmigt und wird versionskontrolliert herausgegeben.

James Elliott

Gründer