Sharp DX Information Security Policy für unsere Kunden

1. Einleitung

1.1. Zweck

Die vorliegende Information Security Policy wird von der Geschäftsleitung in Kraft gesetzt und dokumentiert die grundsätzlichen Anforderungen an die Informationssicherheit bei der Sharp DX (Schweiz) AG. Sie ist die Grundlage aller weiteren Anweisungen und Aktivitäten im Information Security Management und beweist den hohen Stellenwert von Vertraulichkeit, Verfügbarkeit und Integrität von Informationen in der Obhut der Sharp DX (Schweiz) AG.

1.2. Gültigkeitsbereich

Die Sharp DX (Schweiz) AG ist sich der Tatsache bewusst, dass absolute Sicherheit in einer flexibel genutzten IT-Infrastruktur nicht erreichbar ist. Diese Policy definiert deshalb ein anzustrebendes Sicherheits-Niveau unter Berücksichtigung von Faktoren wie Funktionalität, Kosten, Effizienz und gesetzlichen Bestimmungen. Insbesondere fühlt sich die Sharp DX (Schweiz) AG der Sicherheit der Kundenwerte verpflichtet.

1.3. Verstösse

Als Verstösse gelten Handlungen, die entweder tatsächlichoder potenziell Schaden angerichtet haben oder anrichten könnten. Unter Schadenwerden finanzielle Einbussen, Beschädigung des guten Rufs und gesetzlicheÜbertretungen mit Straffolge verstanden. Dies bezieht sich auch auf die Nutzungvon Unternehmens- und Kundeninformationen für illegale oder nicht dienstliche Zwecke. Vorsätzliche oder grob fahrlässige Verstösse gegen diese Information Security Policy und daraus abgeleitete Regelungen können disziplinarische oder arbeitsrechtliche Konsequenzen haben - in schweren Fällen auch straf- oder zivilrechtliche Folgen.

1.4. Genehmigung und Änderung

Dieses Dokument und die darin enthaltenen Regelungen sowie davon abgeleitete Dokumente sind für alle internen und externen Mitarbeitenden der Sharp DX (Schweiz) AG verbindlich und müssen diesen zur Kenntnis gebracht werden. Die Geltungsbereiche erstrecken sich auf alle Services, Daten, Systeme, Komponenten und Dienstleistungen in der Verantwortung der Sharp DX (Schweiz) AG. Die Sicherheitsregelungen von Vereinbarungen mit Kunden, Partnern und Lieferanten sind auf diese Information Security Policy abgestimmt.

1.5. Gesetzliche, vertragliche und interne Anforderungen

Sharp DX (Schweiz) AG verpflichtet sich alle gesetzlichenund vertraglichen Anforderungen einzuhalten.

2. Sicherheitsziele

Mit der Durchführung des Sharp DX (Schweiz) AG Information Security Compliance Test sowie der Bestätigung im Learning Management System von Sharp DX, erkennt der Mitarbeitende an, dass er die Security Policy sowie die weiteren Anforderungen (s. Kapitel 1.5) zur Kenntnis genommen und verstanden hat, sowie sich entsprechend an die Vorgaben hält.

  • Schutz von Assets und speziell von Informationen nach den Kriterien:
    • Vertraulichkeit / Confidentiality
    • Integrität / Integrity
    • Verfügbarkeit / Availability
  • Die Vereinbarungen mit den Kunden in Bezug auf Qualität und Sicherheit werden bei allen von Sharp DX (Schweiz) AG Systems angebotenen Produkten und Dienstleistungen permanent eingehalten. Das Sicherheitsniveau unserer Produkte und Dienstleistungen ist marktgerecht.
  • Alle Mitarbeitenden nehmen ihre Eigenverantwortung in Bezug auf die Sicherheitsbelange wahr. Die Mitarbeitenden sind durch angemessene Massnahmen dazu in die Lage versetzt.
  • Vertragspartner der Sharp DX (Schweiz) AG (Kunden, Partner, Dienstleistungsunternehmen, externe Berater, Lieferanten usw.) halten die relevanten Sicherheitsanforderungen ein. Es wird mindestens ein gegenseitiges Non Disclosure Agreement (NDA) unterschrieben.
  • Gesetzliche Vorschriften werden eingehalten.

Als Verstösse gelten Handlungen, die entweder tatsächlich oder potenziell Schaden angerichtet haben oder anrichten könnten. Unter Schaden werden finanzielle Einbussen, Beschädigung des guten Rufs und gesetzliche Übertretungen mit Straffolge verstanden. Dies bezieht sich auch auf die Nutzung von Unternehmens- und Kundeninformationen für illegale oder nicht dienstliche Zwecke.

3. Umsetzung

Vorsätzliche oder grob fahrlässige Verstösse gegen diese Information Security Policy und daraus abgeleitete Regelungen können disziplinarische oder arbeitsrechtliche Konsequenzen haben, in schweren Fällen auch straf- oder zivilrechtliche Folgen.

Um die Ziele zu erreichen, sind die nachfolgenden Rahmenbedingungen zu beachten und sicherzustellen.

Verwarnungen werden durch das HR auf Antrag von einem Information Security Manager oder eines People-Leaders des betreffenden Teams ausgesprochen und in der Personalakte vermerkt. Für disziplinarische Massnahmen kann auch der Low Performer Prozess durch den People-Leader oder durch das HR angestossen werden.

3.1. Sicherheitsbewusstsein (Awareness)

Bei Missachtung vertraglicher Vereinbarungen in Bezug auf Sicherheit können bereitgestellte Services und Dienste eingeschränkt oder eingestellt werden.

3.2. Risikomanagement

Es werden periodisch im Rahmen des Risikomanagementprozesses Risikobewertungen vorgenommen. Das Risikomanagement System ist wesentlicher Bestandteil des Informations-Sicherheits-Management Systems und angelehnt an den Standard ISO27005. Es werden alle relevanten Bedrohungen nach ISO27005 auf Schadensausmass und Schadenshäufigkeit beurteilt. Zudem werden die ENISA Bedrohungen periodisch überprüft und neu bewertet.

Die Risikoanalyse dient zur detaillierten Feststellung des Risikos basierend auf der Konformität zu den festgelegten Sharp DX (Schweiz) AG Sicherheitsstandards, sowie möglicher zusätzlicher Massnahmen, die bei erhöhtem Schutzbedarf getroffen werden. Die definierten Massnahmen im Information Sicherheit Management System (ISMS) decken die Standardbedrohungen und Schwachstellen als Teil der Basis-Sicherheit ab. Die Risikoakzeptanzkriterien werden durch die Geschäftsleitung definiert und jährlich überprüft. Bei zu hohen Risiken werden Massnahmen zu deren Minderung (Mitigation) definiert.

3.3. Sicherheitsmassnahmen

Die Sharp DX (Schweiz) AG ergreift technische und organisatorische Sicherheitsmassnahmen zum Schutz und Erhalt aller unternehmenskritischen und für unsere Geschäftstätigkeit relevanten Systeme und Daten.

4. Sicherheitsorganisation

4.1. Geschäftsleitung

Die Geschäftsleitung der Sharp DX (Schweiz) AG trägt die Gesamtverantwortung für die Sicherheit, trifft Entscheidungen in diesem Bereich und verabschiedet die Security Policy. Periodisch, aber mindestens einmal pro Jahr, findet ein Management Review statt. Der Security Manager (CISO) und der Quality Manager (CQO) erstellen einen konsolidierten ISO20000/27001 Management Bericht, welcher durch die Geschäftsleitung signiert wird.

Der Bericht enthält mindestens die folgenden Aspekte im Bezug auf ISO27001:

  • Allgemeiner Zustand des Sicherheitsmanagementsystems
  • Durchgeführte Audits
  • Entwicklung des Sicherheitsstatus
  • Definition und Erreichung der Sicherheitsziele
  • Risikolage und Status besonderer Risiken

4.2. CISO

Der CISO ist als Stabstelle zur Geschäftsleitung definiert. Er bildet die Schnittstelle vom Security & Compliance Team zur Geschäftsleitung.

4.3. Information Security & Compliance Manager

Der Security & Compliance Manager ist mit der Sicherstellung des Schutzes von Informationswerten beauftragt und für die Umsetzung respektive Koordination von Sicherheits-Massnahmen verantwortlich.

4.4. Informationseigentümer

Die Informationseigentümer stellen in ihrem Verantwortungsbereich sicher, dass

  • die Informationen und Systeme nach geschäftlicher Relevanz klassifiziert sind
  • die Sicherheitsziele eingehalten werden

4.5. Informationsnutzer

Jede Geschäftseinheit der Sharp DX (Schweiz) AG ist für die Sicherheit ihrer Informationen in Bezug auf Vertraulichkeit,Integrität und Verfügbarkeit und einen angemessenen Schutz der Informationen entsprechend ihrem Wert und Risiko für das betreffende Geschäfts- oder technische Umfeld verantwortlich. In den Service Verträgen wird auf die Pflichten der Informationsnutzer bei den Anwendern hingewiesen, ebenso in Verträgen mit externen Mitarbeitenden.

4.6. Partner, Lieferanten, Besucher

Mit Partner oder Lieferanten wird, falls Informationen ausgetauscht werden, ein Non Disclosure Agreement (NDA) unterschrieben. Das Sharp DX (Schweiz) AG NDA gilt gegenseitig und für die im NDA definierte Zusammenarbeit.

4.7. Krisenstab und Notfallmanagement

Für das Krisenmanagement wird ein eigener Prozess angestossen und regelmässig mittels
Krisenstabsübungen überprüft.

Der Krisenstab hat die Aufgabe, die Behandlung von geschäftskritischen Vorfällen (wie z.B. ein Major Incident), die zu Kriseneskaliert werden, zu steuern.

Sharp DX Information Security Policy
Version: 3.0 | 01.08.2026 (Ver Ext 01.08.2026)