Prüfungsbereitschaft
Einhaltung gesetzlicher Vorschriften und Berichterstattung für Sicherheitsteams
Operative Nachweise
Einhaltung von Vorschriften durch zentralisierte Sicherheit
Im Kern bedeutet die Einhaltung von Sicherheitsvorschriften die kontinuierliche, tägliche Disziplin, die Sicherheitsregeln Ihres Unternehmens zu befolgen und deren Einhaltung in jedem Auditzyklus nachzuweisen. Für Teams im Bereich der physischen Sicherheit umfasst dieser Nachweis in der Regel Zugangsberechtigungen, den Verlauf von Benutzeränderungen, Besucheraufzeichnungen, Ereignisprotokolle, Zeitachsen zu Vorfällen sowie auditfähige Aufzeichnungen.
Mit der Brivo Security Suite lässt sich die Einhaltung von Sicherheitsvorschriften einfacher verwalten, da Zugangsdaten, Videoaufzeichnungen, Einbruchsmeldungen, Besucheraktivitäten und der Ereignisverlauf auf einer einzigen cloudbasierten Plattform eingesehen werden können.
Anwendungsfälle für die Einhaltung von Vorschriften im Bereich der physischen Sicherheit
Compliance ist am effektivsten, wenn sie in wiederholbare Arbeitsabläufe innerhalb der Brivo Security Suite integriert ist, die automatisch auditfähige Aufzeichnungen erstellen, und nicht als manuelle Notlösung kurz vor einem Audit.
Neue Mitarbeiter, Versetzte und Ausscheidende
Bei häufigen Personalveränderungen besteht die Gefahr, dass veraltete Zugriffsrechte bestehen bleiben. Sie benötigen ein Protokoll über Benutzeränderungen mit Genehmigungen und Zeitstempeln, aus dem hervorgeht, wer Zugriff erhalten oder verloren hat, um sicherzustellen, dass die automatisierte Aufhebung von Zugriffsrechten mit Ihrem zentralisierten Identitätsanbieter abgestimmt ist.
Besucher, Auftragnehmer und Lieferanten
Wenn vorübergehender Zutritt an der Tagesordnung ist, werden gemeinsam genutzte Zugangscodes zu einem blinden Fleck; daher benötigen Sie einen Export des Besucherprotokolls sowie eine festgelegte Aufbewahrungsrichtlinie für Besucherprotokolle, in der der Gastgeber, der Zeitrahmen und die konkret genutzten Türen dokumentiert werden. Darüber hinaus liefern Videoaufzeichnungen visuellen Kontext zu den Aktivitäten von Nicht-Mitarbeitern.
Sperrgebiete und Kontrollzonen
Sensible Räume erfordern strengere Kontrollmaßnahmen. Eine auf Rollen und Zonen basierende Richtliniendokumentation sowie eine aktuelle Liste der autorisierten Benutzer tragen dazu bei, ein Zugriffsmodell nach dem Prinzip der geringsten Berechtigungen zu schaffen, sodass Benutzer nur Zugriff auf die für ihre Rolle erforderlichen Zonen haben. Mithilfe der Videoüberwachung werden ungewöhnliche Verhaltensweisen in diesen kritischen Zonen überwacht und aufgezeichnet.
Ausnahmen und Zugang außerhalb der Öffnungszeiten
Notfallzugänge und Arbeiten außerhalb der regulären Arbeitszeiten müssen eindeutig dokumentiert werden. Führen Sie ein Verzeichnis der Ausnahmegenehmigungen, das den genehmigenden Vorgesetzten ausdrücklich mit dem Verlauf der Zugangsereignisse nach Tür und Standort verknüpft. Durch visuelle Überwachung werden Ausnahmen und Zugänge außerhalb der regulären Arbeitszeiten erfasst.
Nachverfolgung von Vorfällen und Lieferantenprüfungen
Wenn sich ein Vorfall zuspitzt, sollte die Suche nach Beweismitteln Sie nicht aufhalten. Dank exportierbarer Herstellerprotokolle und manipulationssicherer Videoaufzeichnungen können Sie Prüfungsanfragen innerhalb von Minuten statt Tagen erfüllen und Zeitstempel vorlegen, aus denen hervorgeht, wann Auftragnehmer Ihre Einrichtung betreten und verlassen haben.
Nachweise und Unterlagen
Rahmenwerk für die Einhaltung von Sicherheitsvorschriften bei Audits
Audits verlaufen reibungsloser, wenn Ihr Team bei Bedarf einheitliche Nachweise vorlegen kann, wobei die Zuständigkeiten in den Bereichen Sicherheit, Gebäudemanagement und IT klar geregelt sind. Die Einführung eines strukturierten Rahmens vereinfacht die Einhaltung globaler Standards wie NIST, der physischen Sicherheitsanforderungen des PCI DSS und der HIPAA-Vorgaben für die Zugangskontrolle zu Einrichtungen.
Verwaltung und Genehmigung von Zugangsdaten: Pflege der genehmigten Zugangsdatentypen und Genehmigungsunterlagen; Bereitstellung von Zugriffsberechtigungslisten und Genehmigungsnachweisen. (Verantwortlich: Sicherheitsabteilung in Zusammenarbeit mit der IT-Abteilung)
Identitätslebenszyklus und Deaktivierung: Passen Sie Onboarding- und Offboarding-Prozesse an die physischen Zugangsberechtigungen an. Ordnen Sie Rollen bestimmten Zonen und den Grundsätzen der geringstmöglichen Berechtigungen zu; stellen Sie Berichte zu Türzugangsrichtlinien sowie einen Verlauf der Benutzeranlegung, -aktualisierung und -deaktivierung bereit, die mit Ihrem zentralen Identitätsanbieter (IdP) synchronisiert sind. (Verantwortlich: Sicherheit und IT)
MFA für Türen mit erhöhtem Risiko: Wenden Sie bei Bedarf eine Multi-Faktor-Authentifizierung (MFA) oder einen zweiten Authentifizierungsfaktor an; legen Sie Konfigurationsaufzeichnungen und Protokolle zur Verwaltung von Zugangsdaten vor, um die Einhaltung der Richtlinien für Sperrbereiche nachzuweisen. (Verantwortlich: IT und Sicherheit)
Regelungen für Besucher und Auftragnehmer: Setzen Sie zeitlich begrenzte Zugangsrechte und eine dokumentierte Anmeldeprozedur ein; exportieren Sie Besucherprotokolle und Zugangszeiten nach Standort. (Zuständig: Gebäudemanagement oder Sicherheitsdienst)
Protokollierung, Videobeweise und Aufbewahrung: Erstellen Sie einen Verlauf der Zugriffsereignisse sowie manipulationssichere Videobeweise; dokumentieren Sie Ihre Richtlinien zur Aufbewahrung von Sicherheitsprotokollen und führen Sie regelmäßige Systemüberprüfungen durch, um die kontinuierliche Prüfungsbereitschaft nachzuweisen. (Verantwortlich: Sicherheitsabteilung in Zusammenarbeit mit der IT-Abteilung)
Integrität des Sicherheitssystems: Weisen Sie nach, dass die Sicherheitsvorrichtungen betriebsbereit und fehlerfrei sind, während das Sicherheitssystem cybersicher ist.
Zentralisierte Betriebsabläufe
Die Brivo Security Suite trägt zur Einhaltung von Sicherheitsvorschriften bei
Schließen Sie die Lücke zwischen Richtlinien und Praxis, indem Sie die Erfassung von Nachweisen zu Zugängen, Videoaufzeichnungen und Besucheraktivitäten in einer einheitlichen operativen Übersicht automatisieren.
- Zentralisieren Sie die Nachweise standortübergreifend. Verwalten Sie Türen, Kameras, Zeitpläne und Benutzer auf einer einzigen Plattform, sodass für Prüfungsanfragen keine Daten aus verschiedenen Tools abgerufen werden müssen. Wenden Sie einheitliche Zeitpläne und Richtlinien für alle Standorte an und ermöglichen Sie gleichzeitig Ausnahmen auf Standortebene.
- Setzen Sie eine rollenbasierte Governance durch. Verwenden Sie rollen- und zonenbasierte Berechtigungen, damit der Zugriff den Richtlinien entspricht und bei Überprüfungen leichter zu erläutern ist.
- Regeln Sie den Zugriff von Dritten durch zeitliche Beschränkungen. Legen Sie Start- und Endzeiten für Lieferanten und Auftragnehmer fest, damit die Zugangsberechtigung automatisch erlischt und Ausnahmen leichter nachverfolgt werden können. Legen Sie zusätzliche Belege vor, die das Video mit den zu überprüfenden Ereignissen in Verbindung bringen.
- Berichte im auditkonformen Format exportieren. Erstellen Sie innerhalb von Sekunden den Verlauf der Zugriffsereignisse, korreliertes Videomaterial und Aufzeichnungen über Administratormaßnahmen und vermeiden Sie so die hektische manuelle Datenerfassung, die häufig einer Compliance-Prüfung vorausgeht.
- Erfassen Sie Ihre Besucher mit dem Brivo-Besuchermanagement, das auf der Envoy-Technologie basiert. Erfassen Sie die Check-in-Daten und Besucheraufzeichnungen zum Export, um die Unternehmensführung und die Nachverfolgung zu unterstützen.
- Legen Sie validierte Sicherheitsnachweise vor. Brivo verfügt über die Zertifizierungen nach SOC 2 Typ II (Bericht unter Geheimhaltungsvereinbarung) und ISO/IEC 27001:2022 sowie über die CSA STAR-Validierung der Stufe 1 und die PCI-DSS-Konformität.
Sichern Sie Ihr Unternehmen ab und erfüllen Sie die gesetzlichen Vorschriften mit Brivo
Wenn Sie mehrere Standorte verwalten, besteht die Herausforderung bei der Einhaltung von Vorschriften nicht nur darin, Richtlinien zu verfassen, sondern diese auch konsequent umzusetzen und Nachweise zügig vorzulegen. Mit Brivo kann ein regionaler Betreiber vorschreiben, dass alle Lagerhäuser dieselben physischen Sicherheitsstandards gemäß PCI DSS einhalten, wodurch sichergestellt wird, dass eine Richtlinienänderung in der Zentrale sofort in allen Außenstandorten umgesetzt wird.
Brivos Unternehmensbereich Sicherheitskonzept ist darauf ausgelegt, strenge gesetzliche Compliance-Anforderungen und IT-Vorgaben zu erfüllen.
Häufige Fragen zu der Einhaltung gesetzlicher Vorschriften, zur Nachweispflicht und zur Prüfungsbereitschaft
Welche Rahmenwerke zur Einhaltung von Sicherheitsvorschriften sind für Teams im Bereich der physischen Sicherheit am wichtigsten?
Dies hängt von Ihrer Branche und Ihrem Standort ab. Viele Teams beginnen mit dem Thema Datenschutz, da Zugriffsprotokolle und Videoaufzeichnungen personenbezogene Daten enthalten. In der EU legt die Datenschutz-Grundverordnung (DSGVO) Anforderungen an die sichere Verarbeitung und Aufbewahrung fest.
Wenn Sie in der EU biometrische Authentifizierung oder KI-gestützte Identifizierung einsetzen, kann das EU-KI-Gesetz den Betreibern von KI-Systemen mit hohem Risiko Verpflichtungen auferlegen, darunter betriebliche Kontrollmaßnahmen und Protokollierungsanforderungen, und es kann sich mit den Folgenabschätzungen gemäß der DSGVO überschneiden.
Im Hinblick auf kritische Infrastrukturen müssen nordamerikanische Energieunternehmen möglicherweise ihre Maßnahmen zur physischen Sicherheit an die NERC-CIP-Standards anpassen (beispielsweise an CIP-006, der sich mit der physischen Sicherheit von Cybersystemen im großtechnischen Stromnetz befasst).
Zu den weiteren wichtigen Rahmenwerken für die Einhaltung von Sicherheitsvorschriften zählen:
- HIPAA
- ISO/IEC 27001
- SOC 2 (Typ I und II)
- NIST SP 800-53 (PE-Familie)
- PCI DSS 4.0 (Anforderung 9)
- C-TPAT (Zoll- und Handelspartnerschaft gegen Terrorismus)
Welche Prüfungsnachweise sollte ein Team für physische Sicherheit zügig vorlegen können?
Sie sollten nachweisen können, wer berechtigt war, was sich geändert hat und was geschehen ist. Dazu gehören in der Regel Aufzeichnungen über Zugriffsberechtigungen, Änderungsprotokolle der Benutzer, Besucherprotokolle und die Historie der Türereignisse. Wenn Videoaufnahmen vorliegen, hilft deren Verknüpfung mit den entsprechenden Ereignissen den Teams dabei, einen klareren zeitlichen Ablauf des Vorfalls zu erstellen.
Wie lange sollten Sie Protokolle zur Zugangskontrolle und Besucherlisten aufbewahren?
Die Aufbewahrungsfristen hängen von Ihren internen Richtlinien sowie von etwaigen behördlichen, vertraglichen oder versicherungsrechtlichen Anforderungen ab. Entscheidend ist dabei die Einheitlichkeit: Legen Sie ein Konzept für die Aufbewahrung und Löschung fest und stellen Sie sicher, dass die Teams dieses standortübergreifend befolgen können.
Wie gehen Sie mit Ausnahmesituationen wie Notfällen oder Lieferanten außerhalb der Geschäftszeiten um?
Behandeln Sie Ausnahmen als kontrollierte Ereignisse und nicht als informelle Notlösungen. Beschränken Sie den Zugriff auf einen festgelegten Zeitraum, verlangen Sie eine Genehmigung, wenn Ihre Richtlinien dies vorschreiben, und dokumentieren Sie, wer die Ausnahme genehmigt hat und wann sie in Anspruch genommen wurde.
Lässt sich die Einhaltung von Sicherheitsvorschriften mit getrennten Zutritts- und Videosystemen gewährleisten?
Ja, doch dies kann zu Reibungsverlusten führen. Wenn sich die Nachweise auf verschiedene Tools verteilen, verbringen Teams oft mehr Zeit damit, Aufzeichnungen zusammenzustellen und Zeitachsen abzugleichen. Eine einheitliche Ereignishistorie mit verknüpften Kontextinformationen kann Audits und die Nachverfolgung von Vorfällen beschleunigen.