1. Zweck und Verpflichtung
Die zentralen Geschäftsziele der Mondo Gate AG bestehen darin, sichere Fintech-Dienstleistungen bereitzustellen, Kundendaten zu schützen und die Einhaltung regulatorischer Anforderungen sicherzustellen. Diese Richtlinie legt die Verpflichtung der Geschäftsleitung zur Informationssicherheit fest und bildet den Rahmen für das Informationssicherheitsmanagementsystem (ISMS), das in Übereinstimmung mit ISO/IEC 27001:2022 betrieben wird und diese Ziele unterstützt.
Die Mondo Gate AG verpflichtet sich, die Vertraulichkeit, Integrität und Verfügbarkeit ihrer Informationswerte fortlaufend zu schützen.
2. Geltungsbereich
Diese Richtlinie gilt für alle Mitarbeitenden, Auftragnehmer und Berater der Mondo Gate AG sowie für alle Informationswerte, Systeme und Drittanbieter, die im Auftrag der Mondo Gate AG tätig sind.
3. Informationssicherheitsziele
Die Mondo Gate AG verfolgt folgende Informationssicherheitsziele:
- Vertraulichkeit: Informationen sind nur für Personen zugänglich, die zum Zugriff berechtigt sind.
- Integrität: Informationen und Systeme sind korrekt und vor unbefugter Veränderung geschützt.
- Verfügbarkeit: Informationen und Systeme stehen berechtigten Nutzern bei Bedarf zur Verfügung.
- Datenschutz: Personenbezogene Daten werden rechtmäßig und nach Maßgabe des geltenden Datenschutzrechts verarbeitet.
4. Verpflichtungen zur Einhaltung
Die Mondo Gate AG verpflichtet sich:
- alle geltenden gesetzlichen und regulatorischen Anforderungen, einschließlich der Datenschutz-Grundverordnung der Europäischen Union (DSGVO) und ISO/IEC 27001:2022, einzuhalten.
- die geltenden Informationssicherheitsanforderungen von Kunden, Partnern und Aufsichtsbehörden zu erfüllen.
- die Wirksamkeit ihres ISMS fortlaufend zu verbessern.
5. Unterstützende Dokumente
Diese Richtlinie steht an oberster Stelle der ISMS-Dokumentationshierarchie der Mondo Gate AG und wird durch die folgenden unterstützenden Dokumente umgesetzt.
5.1 Themenspezifische Richtlinien
Die folgende Liste ist ein Auszug.
- Richtlinie zur zulässigen Nutzung
- Datenschutzrichtlinie
- Kryptografierichtlinie
- Passwortrichtlinie
- Richtlinie für mobiles Arbeiten
- Richtlinie für mobile Endgeräte
- Richtlinie zur Lieferantensicherheit
- Richtlinie zur Nutzung künstlicher Intelligenz
5.2 Maßnahmenkatalog und Verfahren
Die detaillierte Umsetzung der Maßnahmen — einschließlich Zugriffskontrolle, physischer und umgebungsbezogener Sicherheit, Betriebs- und Netzwerksicherheit, Management von Informationssicherheitsvorfällen und Geschäftskontinuität — ist in der Erklärung zur Anwendbarkeit (Statement of Applicability, ISO27001-SOA-001) und den Kontrolldokumenten zu Anhang A (A.5 organisatorische, A.6 personenbezogene, A.7 physische, A.8 technologische Maßnahmen) festgelegt und wird durch die operativen ISMS-Verfahren unterstützt (einschließlich Management von Informationssicherheitsvorfällen, Geschäftskontinuität, internem Audit und Steuerung von Dokumentenänderungen).
6. Überprüfung
Diese Richtlinie wird jährlich sowie nach jeder wesentlichen Änderung der Organisation, ihres Geschäftsbetriebs oder der Risikolage überprüft. Alle wesentlichen Änderungen müssen vom CEO und CTO genehmigt werden.