Sicherheitserklärung

Von Thomas Brichant, RSSI / Leiter der Informationssicherheit, Actito

Actito S.A., 1 Avenue Athéna, 1348 Louvain-la-Neuve, Belgien, +32 (0)10 45 85 14

Diese Version wurde am 25.09.2023 aktualisiert

Zusammenfassung

1. Einleitung

Angesichts der sensiblen Daten, die in unserer Software verarbeitet werden, hat Actito strenge Verfahren eingeführt, um die Sicherheit der Kunden- und Nutzerdaten zu gewährleisten.

Im Folgenden geben wir einen Überblick über die wichtigsten Sicherheitsprozesse bei Actito:

2. Produktionsumgebung

Actito nutzt für seine Software-as-a-Service-Lösung (SaaS) ein cloudbasiertes Bereitstellungsmodell auf eigener Infrastruktur. Alle Softwarewartungs- und Konfigurationsarbeiten werden ausschließlich von Actito-Mitarbeitern durchgeführt. Um maximale Datensicherheit zu gewährleisten, werden die Daten jedes Kunden in dedizierten Datenbanken gespeichert. Zu unseren Sicherheitsmaßnahmen gehören branchenübliche Praktiken wie Firewalls, Intrusion Detection, Isolierung der Umgebungen und ein strenges Änderungsmanagement.

3. Skalierbarkeit

Die verteilte Architektur von Actito für die Datenerfassung und -verarbeitung ermöglicht eine nahtlose Skalierbarkeit, um einer steigenden Anzahl von Kunden und zunehmendem Datenverkehr gerecht zu werden. Eine kontinuierliche Überwachung durch verschiedene Prozesse und Tools gewährleistet die optimale Auslastung von Netzwerkressourcen, Betriebssystemen, Anwendungen und Kapazitäten, wobei die Systeme skaliert werden, sobald vorab festgelegte Kapazitätsschwellen erreicht werden.

4. Risikomanagement

Zur Stärkung seiner Geschäftskontinuitätsplanung hat Actito umfassende Risikomanagementverfahren etabliert. Diese Verfahren unterstützen das Management dabei, potenzielle Risiken zu identifizieren und proaktiv zu bewältigen, die unsere Fähigkeit beeinträchtigen könnten, unseren Kunden zuverlässige Dienstleistungen zu erbringen.

5. Richtlinien

Actito unterhält eine umfassende Richtlinie zur Informationssicherheit und aktualisiert diese regelmäßig. Diese Richtlinie legt die Verantwortlichkeiten der Mitarbeiter hinsichtlich der Vertraulichkeit von Kundendaten und der zulässigen Nutzung von Ressourcen fest. Alle Mitarbeiter sind verpflichtet, diese Richtlinie zu lesen und zu bestätigen.

6. Aufgabentrennung

Nur autorisiertes Personal darf Systeme verwalten oder Aufgaben im Bereich Sicherheitsmanagement und Betrieb übernehmen. Die Genehmigung und Umsetzung von Änderungen erfolgen, soweit möglich, in getrennten Zuständigkeiten, um ein Höchstmaß an Sicherheit zu gewährleisten. Der Zugriff auf Kundendaten ist streng auf legitime geschäftliche Zwecke beschränkt.

7. Mitarbeiterüberprüfung

Actito schreibt vor, dass alle Mitarbeiter einer Hintergrundüberprüfung (soweit nach den örtlichen Vorschriften zulässig) unterzogen werden und bei der Einstellung bestimmte Dokumente zur Identitätsprüfung vorlegen müssen.

8. Beschäftigungsbedingungen

Allgemeine Verantwortlichkeiten im Bereich der Informationssicherheit sind in der Actito-Richtlinie zur Informationssicherheit dokumentiert, die alle Mitarbeiter im Rahmen ihres Einarbeitungsprozesses unterzeichnen müssen.

9. Schulungen

Alle neuen Mitarbeiter, ob in Vollzeit oder befristet beschäftigt, erhalten im Rahmen ihrer Einarbeitung eine umfassende Schulung zur Informationssicherheit. Eine jährliche Aktualisierung der Schulungsanforderungen zu Sicherheit und Datenschutz stellt sicher, dass die Mitarbeiter ihr Wissen und Verständnis kontinuierlich auffrischen. Darüber hinaus werden sie gebeten, an monatlichen Online-Schulungen sowie an einer speziell zugeschnittenen Anti-Phishing-Schulung teilzunehmen. Mitarbeiter, die mit Kundendaten umgehen, erhalten eine spezielle Sicherheitsschulung.

10. Beendigung des Arbeitsverhältnisses

Actito verfügt über ein formelles Verfahren zur Beendigung des Arbeitsverhältnisses, das die Aufhebung jeglichen potenziellen Zugriffs auf Actito und zugehörige Daten umfasst. Austrittsgespräche dienen dazu, ehemalige Mitarbeiter an ihre verbleibenden Beschäftigungsbeschränkungen und vertraglichen Verpflichtungen zu erinnern.

11. Dokumentation und Änderungsmanagement

Kritische und wiederholbare Prozesse sowie Sicherheitsprüfungen innerhalb der Produktionsumgebung von Actito werden entweder in Verfahren dokumentiert oder als Automatisierungsskripte implementiert. Wir pflegen und befolgen formelle Änderungsmanagementprozesse, bei denen alle Änderungen an der Produktionsumgebung unter regelmäßiger Einbeziehung der zuständigen Fachverantwortlichen nachverfolgt und dokumentiert werden.

12. Umgebungen

Sowohl geplante als auch Notfalländerungen werden in separaten Umgebungen strengen Tests unterzogen. Diese Änderungen werden vor der Bereitstellung in der Produktionsumgebung von der Abteilung „Engineering and Testing Support“ geprüft und genehmigt. Tests, mit Ausnahme der Validierung der Bereitstellung, sind in der Produktionsumgebung strengstens untersagt.

13. Datensicherung

Actito nutzt vollständig redundante Datenbanken zur Speicherung aller Kundendaten. Die Daten werden täglich planmäßig gesichert, mit einem hochmodernen Algorithmus verschlüsselt und an geografisch getrennten Standorten gespeichert.

14. Protokollierung und Überwachung

Actito nutzt eine branchenübliche Lösung für das Enterprise-Anwendungsmanagement, um die Systeme rund um die Uhr zu überwachen. Dieses System ermöglicht die Ausgabe von Warnmeldungen, Trendanalysen und Risikobewertungen.

15. Verschlüsselung

Alle Kundendaten innerhalb der Actito-Anwendung werden bei der Übertragung über öffentliche Netzwerke mithilfe von Transport Layer Security 1.2 oder einer neueren Verschlüsselung (FTPS/HTTPS) verschlüsselt. Von den Kunden von Actito innerhalb der Anwendung bereitgestellte Daten werden im Ruhezustand mit der branchenüblichen AES-256-Verschlüsselung gespeichert.

16. Entwicklungs- und Supportprozess

Actito folgt einer agilen Entwicklungsmethodik, die sich durch iterative, schnelle Release-Zyklen auszeichnet. Sicherheit und Sicherheitstests sind integrale Bestandteile des gesamten Softwareentwicklungsprozesses, wobei die Qualitätssicherung in jeder Phase einbezogen wird, um die Einhaltung von Best Practices im Bereich Sicherheit sicherzustellen.

17. Vorfallmanagement

Actito hat ein robustes Verfahren zum Vorfallmanagement etabliert, um Ereignisse effizient und zeitnah zu bearbeiten. Dieses Verfahrensgerüst umreißt Bereitstellungsprotokolle, definiert Kriterien für den Schweregrad von Vorfällen, beschreibt den Ablauf der Untersuchung und Diagnose, legt Anforderungen an Dokumentation und Berichterstattung fest und stellt Kontaktinformationen bereit. Sicherheitsvorfälle werden von den Ersthelfern an den zuständigen Kundenbetreuer weitergeleitet, um den Kunden zu benachrichtigen; kritische Probleme werden sofort behoben, während Probleme geringerer Schwere im Rahmen des Standard-Entwicklungsprozesses auf eine Lösung hin geprüft werden.

18. Geschäftskontinuität und Notfallwiederherstellung

Unsere Maßnahmen im Rahmen des Geschäftskontinuitätsplans (BCP) und des Notfallwiederherstellungsplans (DRP) legen den Schwerpunkt auf kritische Funktionen, die für die Bereitstellung der SaaS-Lösungen von Actito an unsere Kunden erforderlich sind. Der Umfang der BCP- und DRP-Maßnahmen variiert je nach Kritikalität der jeweiligen Funktion oder Einrichtung, wodurch die Wirksamkeit dieser Maßnahmen maximiert wird.

19. Redundanz

Die Architektur der SaaS-Lösungen von Actito beinhaltet Redundanz in der gesamten Infrastruktur und gewährleistet so Ausfallsicherheit – von Lastenausgleichssystemen und Speichereinheiten bis hin zu Verarbeitungsmodulen, Stromversorgungssystemen und Telekommunikationsanbietern. Es gibt keine einzelnen Ausfallpunkte, und alle Daten werden zur zusätzlichen Redundanz gleichzeitig an zwei getrennte Standorte geschrieben.