{"id":8147,"date":"2021-03-18T09:44:07","date_gmt":"2021-03-18T09:44:07","guid":{"rendered":"https:\/\/sofialocks.com\/sicherheit-und-datenschutz\/"},"modified":"2024-07-22T06:26:55","modified_gmt":"2024-07-22T06:26:55","slug":"sicherheit-und-datenschutz-psti","status":"publish","type":"page","link":"https:\/\/sofialocks.com\/de\/sicherheit-und-datenschutz-psti\/","title":{"rendered":"Sicherheit und Datenschutz (PSTI)"},"content":{"rendered":"\n
\n
\n
\n
\n

OPEN SOURCE F\u00dcR H\u00d6HERE SICHERHEIT<\/h2>\n\n\n\n

Wir halten es f\u00fcr strategisch sinnvoll, auf umfassend gewartete und etablierte Open-Source-Softwarekomponenten zur\u00fcckzugreifen und nach M\u00f6glichkeit kundenspezifische L\u00f6sungen zu vermeiden, die schwer zu warten und nicht umfassend getestet sind. Die Ans\u00e4tze „not invented here<\/em>“ und „security through obscurity<\/em>“ sind nicht Teil unserer Kultur, auch nicht bei unseren Systemen.<\/p>\n<\/div><\/div>\n<\/div>\n\n\n\n

\n
\n
\"\"<\/figure>\n<\/div><\/div><\/div>\n<\/div>\n<\/div>\n<\/div><\/div>\n\n
\n
\n
\n

BEW\u00c4HRTE PRAKTIKEN F\u00dcR INFRASTRUKTUREN UND ANWENDUNGEN<\/h2>\n\n\n\n

Zuverl\u00e4ssigkeit, Skalierbarkeit und Sicherheit waren die Beweggr\u00fcnde, die uns dazu brachten, den f\u00fchrenden Cloud-Anbieter als Partner unserer Wahl f\u00fcr unsere Cloud-Systeme zu w\u00e4hlen. Die Sicherheit von Anwendungen, die auf AWS ver\u00f6ffentlicht werden, wird durch die Anwendung der vom Cloud-Anbieter selbst empfohlenen Best Practices gew\u00e4hrleistet, angefangen bei der Verschl\u00fcsselung von Daten (in erster Linie auf Datenbankebene sowie auf Objektspeicher und in jedem anderen Datentr\u00e4ger‚im Ruhezustand<\/em>‚) bis hin zur Kommunikation zwischen den Diensten (immer auf internen VPCs und strikt \u00fcber einen sicheren SSL-Kanal) und der Benutzerauthentifizierung (\u00fcber den Standard OAuth 2.0 f\u00fcr Systembenutzer und Single Sign-On mit Multi-Faktor-Authentifizierung f\u00fcr den Mitarbeiter, der an der Infrastruktur arbeitet).<\/p>\n<\/div><\/div>\n<\/div>\n<\/div>\n\n

\n
\n
\n

INFRASTRUCTURE-AS-CODE UND RESILIENZ<\/h2>\n\n\n\n

Die gesamte Infrastruktur wird durch einen „deklarativen Ansatz“ bei der Definition von Ressourcen und ihrer Konfiguration verwaltet: Dies erm\u00f6glicht robuste automatische „Disaster Recovery<\/em>“ -Verfahren, die das Recovery Time Objective (RTO) und das Recovery Point Objective (RPO) im Falle eines verteilten Ausfalls minimieren. Wir \u00fcberpr\u00fcfen diese Verfahren regelm\u00e4\u00dfig, um sicherzustellen, dass sie auf dem neuesten Stand und korrekt sind, und beauftragen regelm\u00e4\u00dfig externe Cybersicherheitsberater, um die technologischen Entscheidungen und Ma\u00dfnahmen zu validieren, die zum Schutz des Perimeters der Plattform getroffen wurden.<\/p>\n<\/div><\/div>\n<\/div>\n<\/div>\n\n

\n
\n
\n
\n

SICHERHEIT F\u00dcR UNTERNEHMEN<\/h2>\n\n\n\n

Die Sicherheit von Unternehmenscomputern und -ger\u00e4ten wird durch Festplattenverschl\u00fcsselung, biometrische Mitarbeiteridentifikation und umfassende Fernverwaltung der Ger\u00e4teflotte gew\u00e4hrleistet. Die Authentifizierung des Personals f\u00fcr den Zugriff auf interne und externe Unternehmensdienste erfolgt, soweit technisch machbar, \u00fcber Single Sign-On (SSO) via Google Suite Business: Dies garantiert uns einen einzigen Zugangspunkt zu Unternehmenskommunikation und -systemen mit strengen Richtlinien f\u00fcr die Erneuerung von Passw\u00f6rtern und Multi-Faktor-Identifizierung. Zugriffsschl\u00fcssel zu Systemen, die keine Integration mit unserem SSO-Anbieter unterst\u00fctzen, werden \u00fcber einen speziellen Dienst zur Verwaltung von Geheimnissen freigegeben, auf den wiederum nur \u00fcber das SSO des Unternehmens zugegriffen werden kann. <\/p>\n<\/div><\/div>\n<\/div>\n\n\n\n

\n
\n
\"\"<\/figure>\n<\/div><\/div><\/div>\n<\/div>\n<\/div>\n<\/div><\/div>\n\n
\n
\n
\n
\n

DATENPARTITIONIERUNG UND VERWALTUNG VON GEHEIMNISSEN<\/h2>\n\n\n\n

Die Produktions- und Entwicklungsumgebungen sind physisch und logisch unabh\u00e4ngig, was es uns erm\u00f6glicht, den Zugriff auf echte Benutzerdaten auf streng autorisiertes Personal zu beschr\u00e4nken, das f\u00fcr die Wartung von Anwendungen und Infrastruktur zust\u00e4ndig ist. Anwendungscode und Geheimnisse, die f\u00fcr den Zugriff auf die Systeme erforderlich sind, werden stets unabh\u00e4ngig voneinander verwaltet, wobei automatische Verfahren zum Abgleich von Verweisen auf Geheimnisse w\u00e4hrend der Software-Release-Phasen in den jeweiligen Umgebungen eingesetzt werden. Der Einsatz eines zuverl\u00e4ssigen (auf einer „Zero Knowledge<\/em>“ -Architektur basierenden) und zentralisierten Dienstes zur Verwaltung von Geheimnissen erm\u00f6glicht es uns, die Verwaltung von Zugriffsschl\u00fcsseln und deren regelm\u00e4\u00dfige Rotation zu automatisieren. <\/p>\n<\/div><\/div>\n<\/div>\n\n\n\n

\n
\n
\"\"<\/figure>\n<\/div><\/div><\/div>\n<\/div>\n<\/div>\n<\/div><\/div>\n\n
\n
\n
\n

DEZENTRALES AUDITING UND PROTOKOLLIERUNG<\/h2>\n\n\n\n

Jede Benutzeraktivit\u00e4t im System wird \u00fcber Anwendungs- und Systemprotokolle nachverfolgt: Einerseits kann die Aktivit\u00e4tsverfolgung bei der Fehlersuche helfen, indem sie eine genaue Historie der durchgef\u00fchrten Aktivit\u00e4ten und der jeweiligen Verantwortlichkeiten von Entwicklern, Systemadministratoren und\/oder Endbenutzern liefert; andererseits stellt sie sicher, dass unsere Plattform die neuesten Vorschriften der DSGVO erf\u00fcllt.<\/p>\n<\/div><\/div>\n<\/div>\n<\/div>\n\n

\n
\n
\n

WEITERE \u00dcBERLEGUNGEN ZUR DSGVO<\/h2>\n\n\n\n

Alle bisher beschriebenen Aktivit\u00e4ten dienen dazu, die von der Datenschutz-Grundverordnung (DSGVO) geforderten Sicherheitsstandards in jeder Phase der Entwicklung und Implementierung des Systems zu gew\u00e4hrleisten.\nZus\u00e4tzlich zu den technischen M\u00f6glichkeiten zur Risikominimierung wird die Verarbeitung der Daten unter Beachtung der in der Verordnung festgelegten Grunds\u00e4tze der Rechtm\u00e4\u00dfigkeit gew\u00e4hrleistet, insbesondere: <\/p>\n\n\n\n