Informationssicherheit
Commbox weiß, wie wichtig robuste Sicherheitspraktiken sind, um Kundendaten zu schützen und die gesetzlichen und behördlichen Anforderungen auf dem heutigen wettbewerbsorientierten globalen Markt zu erfüllen.
Wir haben internationale Standards und Richtlinien als Grundlage für unser Informationssicherheits-Managementsystem übernommen, um eine umfassende Sicherheit für unsere Technologien, Programme und Prozesse zu gewährleisten. Unser Sicherheitsrahmen umfasst Zugriffsmanagement, Endpunkt- und Virenschutz, Patch-Management, Reaktion auf Zwischenfälle, sichere Entwicklung und Tests, Überprüfung der Einhaltung von Sicherheitsvorschriften, Asset-Management, Business Continuity, Aufbewahrung und Entsorgung, Netzwerkmanagement, Umgang mit Medien, Betriebssicherheit, Protokollierung und Überwachung, Malware- und Schwachstellenmanagement, interne Organisation und Risikobewertung, Ausrüstung, Personalsicherheit, physische Sicherheit und Management von Drittanbietern.
Programm für Informationssicherheit
In einem zunehmend wettbewerbsintensiven globalen Markt, in dem Cloud-Dienste für das Informationsmanagement schnell angenommen werden, ist die Aufrechterhaltung solider Sicherheitspraktiken entscheidend. Der Schutz von Unternehmens-, Kunden- und Mitarbeiterdaten vor den sich entwickelnden Bedrohungen der Cybersicherheit und der Nachweis der Einhaltung gesetzlicher und behördlicher Anforderungen sind für alle Unternehmen von entscheidender Bedeutung.
Unsere Sicherheitsmaßnahmen sind in alle unsere Technologien, Programme und Prozesse integriert. Commbox hat die Normenfamilie der International Standards Organization (ISO) 27000, insbesondere ISO 27001, als Grundlage für unser Informationssicherheits-Managementsystem übernommen. Wir haben Richtlinien, Standards und Kontrollen festgelegt, dokumentiert und implementiert, die den Anforderungen von ISO 27001 entsprechen.
Unser Sicherheitsrahmen basiert auf führenden Informationssicherheitsstandards und wird von einem internen Team von Experten für Cloud-, Anwendungs- und Informationssicherheit gepflegt. Informieren Sie sich über die in unserem Informationssicherheitsprogramm beschriebenen Maßnahmen, mit denen wir neue Bedrohungen erkennen und abwehren. Vollständige Richtlinien für jedes Thema sind auf Anfrage erhältlich.
Hosting und Speicherung von Daten
Die CommBox-Plattform und die Daten werden in Einrichtungen von Amazon Web Services (AWS) in Irland gehostet.
Zugangsverwaltung
Commbox hat ein genau definiertes Verfahren für die Gewährung des Zugriffs auf alle Informationswerte eingeführt. Privilegien und Zugriffsrechte werden den Mitarbeitern auf der Grundlage unserer vom Management genehmigten rollenbasierten Zugriffskontrolle zugewiesen, die sich auf die Prinzipien "Kenntnisnahme erforderlich" und "geringste Rechte" stützt, um Informationsbestände vor unbefugtem Zugriff und Offenlegung zu schützen. Unsere Passwortrichtlinie wird einheitlich für alle Informationsressourcen durchgesetzt und gewährleistet die Einhaltung der Mindestlänge, der Komplexität, der Gültigkeitsdauer und der Historie von Passwörtern sowie die Sperrung von Konten im Falle von Fehlversuchen.
Endpunkt- und Antivirenschutz
In Übereinstimmung mit unseren Richtlinien müssen alle Betriebssysteme, die Commbox besitzt und unterstützt, mit unserer Antivirenlösung konfiguriert werden. Außerdem verschlüsseln wir die Computer, damit ihre Daten auch bei Verlust oder Diebstahl nicht zugänglich sind.
Patch-Verwaltung
Wir sammeln und analysieren Informationen über Sicherheitsbedrohungen von unseren internen Schwachstellenmanagement-Tools, Anbietern und anderen Sicherheitsorganisationen. Unser Standard für die Patch-Verwaltung legt angemessene Patching-Verfahren für unsere Technologie-Teams fest. Darüber hinaus können wir bei Bedarf zusätzliche Sicherheitskontrollen implementieren, um bekannte Bedrohungen zu entschärfen.
Reaktion auf Vorfälle
Es wird ein Verfahren zur Reaktion auf Zwischenfälle eingeführt, um auf auftretende Probleme zu reagieren. Dieser Prozess wird von einem speziellen Vorfallsreaktionsteam verwaltet und folgt einem dokumentierten Verfahren zur Schadensbegrenzung und Kommunikation. Der Plan hält sich an verschiedene anerkannte Standards und bewährte Praktiken der Branche, und wir führen jährlich eine Übung mit einem Szenario für die Reaktion auf Zwischenfälle durch.
Der Incident-Response-Prozess von Commbox sieht vor, dass Vorfälle umgehend gemeldet, untersucht und überwacht werden, um sicherzustellen, dass rechtzeitig Korrekturmaßnahmen ergriffen werden, um Sicherheitsvorfälle zu kontrollieren und zu beheben.
Sichere Entwicklung und Prüfung
Bei Commbox steht die Sicherheit in jedem Aspekt unserer Entwicklungs- und Testprozesse im Vordergrund. Unser Engagement für eine sichere Entwicklung beginnt mit einem umfassenden Security-First-Ansatz, der sicherstellt, dass die gesamte Software von Anfang an mit robusten Schutzmechanismen ausgestattet ist. Unser Entwicklungsteam hält sich an branchenübliche Best Practices, wie z. B. sichere Kodierungsstandards und regelmäßige Codeüberprüfungen, um potenzielle Schwachstellen frühzeitig im Entwicklungszyklus zu erkennen und zu beseitigen. Außerdem verfügen wir über Verfahren zur Kontrolle von Systemänderungen, Beschränkungen für Änderungen an Softwarepaketen, Systemsicherheits- und Akzeptanztests und andere Maßnahmen zur Risikominderung.
Überprüfung der Einhaltung von Sicherheitsvorschriften
Unsere Überprüfungen der Sicherheitskonformität sind ein integraler Bestandteil unseres operativen Rahmens, der sicherstellt, dass alle unsere Prozesse, Systeme und Anwendungen die Branchenvorschriften und Best Practices erfüllen oder übertreffen. Wir führen regelmäßig Audits und Bewertungen durch, um unsere Konformität mit internationalen Standards wie GDPR, ISO 27001, SOC2, PCI und anderen relevanten Zertifizierungen und Vorschriften zu überprüfen. Unser engagiertes Compliance-Team arbeitet unermüdlich daran, mit den neuesten Sicherheitsanforderungen und regulatorischen Änderungen Schritt zu halten und die erforderlichen Anpassungen an unseren Richtlinien und Verfahren vorzunehmen. Durch umfassende Dokumentation, kontinuierliche Überwachung und strenge Durchsetzung von Compliance-Maßnahmen garantiert Commbox eine sichere und konforme Umgebung und liefert unseren Kunden zuverlässige und vertrauenswürdige Lösungen.
Vermögensverwaltung
Wir führen ein detailliertes Inventar all unserer Hardware, Software und digitalen Ressourcen, um sicherzustellen, dass sie ordnungsgemäß nachverfolgt, gewartet und gesichert werden. Unsere Asset-Management-Prozesse umfassen regelmäßige Audits, Lebenszyklusmanagement und strenge Zugangskontrollen zum Schutz vor unbefugter Nutzung und potenziellen Schwachstellen.
Geschäftskontinuitätsplan
CommBox hat einen gut durchdachten Business Continuity Plan. Alle Informationen sind in einem formellen Dokument enthalten, das wir auf Anfrage zur Verfügung stellen können. Der Plan wird jährlich aktualisiert und getestet. Alle Daten werden auf zwei separaten Servern (Produktion + Backups) auf einer AWS-Serverfarm gespeichert. Alle Informationen werden auf dem Backup-Server bis zu zwei Wochen zurück gesichert. Falls der Produktionsserver nicht verfügbar ist, steht der Backup-Server mit den gesamten Daten zur Verfügung.
Aufbewahrung und Beseitigung
Wir haben umfassende Aufbewahrungs- und Entsorgungsrichtlinien aufgestellt, um Daten und Vermögenswerte sicher und verantwortungsvoll zu verwalten. Unsere Aufbewahrungsrichtlinien stellen sicher, dass Daten nur so lange gespeichert werden, wie es für die Einhaltung gesetzlicher Vorschriften, geschäftlicher Anforderungen und Kundenvereinbarungen erforderlich ist. Wir klassifizieren und überprüfen unsere Daten regelmäßig, um die Einhaltung rechtlicher und organisatorischer Richtlinien zu gewährleisten. Wenn Daten oder Vermögenswerte nicht mehr benötigt werden, sorgen unsere Entsorgungsprozesse für eine sichere Beseitigung. Dazu gehören die Verwendung zertifizierter Datenvernichtungsmethoden und die ordnungsgemäße Entsorgung physischer Bestände, um unbefugten Zugriff oder Datenverletzungen zu verhindern.
Netzwerk-Management
Unsere Netzwerkverwaltungsstrategie umfasst ein umfassendes Paket von Verfahren, die eine optimale Leistung, Sicherheit und Skalierbarkeit unserer Netzwerkinfrastruktur gewährleisten. Wir setzen fortschrittliche Überwachungstools und -techniken ein, um die Netzwerkaktivitäten zu überwachen, Anomalien zu erkennen und potenzielle Bedrohungen in Echtzeit zu verhindern. Unser Netzwerk ist mit Redundanz- und Failover-Mechanismen ausgestattet, um einen kontinuierlichen Betrieb zu gewährleisten und Ausfallzeiten zu minimieren. Wir setzen strenge Zugangskontrollen und Verschlüsselungsprotokolle ein, um Daten während der Übertragung zu schützen und unbefugten Zugriff zu verhindern. Regelmäßige Audits und Aktualisierungen unserer Netzwerkkonfigurationen stellen sicher, dass wir neuen Bedrohungen immer einen Schritt voraus sind und die Branchenstandards einhalten.
Umgang mit Medien
Change Management\Operationen
Commbox stellt sicher, dass alle Änderungen an der betrieblichen Informationssystemumgebung, einschließlich Änderungen an Servern, Netzwerkausrüstung und Software, einem formellen Änderungsmanagementprozess unterliegen.
Darüber hinaus unterhält Commbox Sicherungskopien von Informationen und Software, um die Datenwiederherstellung im Falle von Vorfällen wie Systemabstürzen oder versehentlichem Löschen von Daten zu erleichtern.
Protokollierung und Überwachung
Die automatisierte und systematische zentralisierte Sicherheitsprotokollierung und Überwachung der Betriebsumgebung wird kontinuierlich durch unser Security Operations Center (SOC) durchgeführt. Dies gewährleistet Echtzeit-Bewusstsein, Ereigniskorrelation und schnelle Reaktion auf Vorfälle. Wir verwenden ein SIEM-System, um alle Warnmeldungen und relevanten Daten aus verschiedenen Protokollen zu zentralisieren und zu überwachen. Alle Protokolle sind vor Änderungen oder Manipulationen geschützt und werden mindestens 24 Monate lang aufbewahrt. Wir überwachen Systeme, Dienste und Abläufe, um den Zustand unserer Betriebsumgebungen sicherzustellen. Wir setzen Management-Tools ein, um eine gut skalierte und hochverfügbare Umgebung zu überwachen und zu erhalten.
Malware- und Schwachstellenmanagement
Unser umfassendes Programm zur Verwaltung von Malware und Schwachstellen beinhaltet proaktive Maßnahmen zur Erkennung, Verhinderung und Reaktion auf Bedrohungen. Wir setzen fortschrittliche Anti-Malware-Tools und kontinuierliche Überwachungssysteme ein, um potenzielle Bedrohungen in Echtzeit zu erkennen und zu neutralisieren. Vierteljährliche Schwachstellenbewertungen und ein jährlicher Penetrationstest werden durchgeführt, um Sicherheitsschwachstellen in unserer Infrastruktur und unseren Anwendungen aufzudecken und zu beheben. Unser engagiertes Sicherheitsteam ist stets über die neuesten Bedrohungsdaten informiert und wendet rechtzeitig Patches und Updates an, um Risiken zu minimieren. Durch strenge Schulungs- und Sensibilisierungsprogramme stellen wir sicher, dass unsere Mitarbeiter in der Lage sind, potenzielle Bedrohungen zu erkennen und auf sie zu reagieren. Durch die Aufrechterhaltung eines robusten Malware- und Schwachstellenmanagement-Rahmens gewährleistet Commbox die kontinuierliche Sicherheit und Widerstandsfähigkeit unserer Dienste, schützt die Daten unserer Kunden und erhält ihr Vertrauen.
Interne Organisation und Risikomanagement
Wir führen jährlich eine externe Risikobewertung durch, deren Ergebnisse der Geschäftsleitung vorgelegt und im Rahmen einer formellen jährlichen Risikoprüfung diskutiert werden. Nach Abschluss der Risikobewertung arbeitet unser Sicherheitsteam mit den Produkt- und Technologieteams zusammen, um Abhilfepläne und Roadmaps zu formulieren, die darauf abzielen, Compliance-Lücken und identifizierte Risiken zu beseitigen.
Wir führen auch interne und externe Audits durch, um die Einhaltung von Richtlinien, Standards und gesetzlichen Vorschriften zu überprüfen. Die Ergebnisse dieser Audits werden für die Überprüfung und die anschließenden Abhilfemaßnahmen innerhalb der Organisation aufgezeichnet.
Personelle Sicherheit
Alle unsere Mitarbeiter halten sich an unseren Verhaltenskodex und die AUP, die die Werte und den Auftrag unseres Unternehmens widerspiegeln. Sie werden über ihre Verantwortlichkeiten, unsere Richtlinien und Standards informiert und erhalten regelmäßig Anleitung und Unterstützung von unserem Informationssicherheitsteam zu bewährten Verfahren für die Datensicherheit.
Um die einschlägigen Gesetze und Vorschriften einzuhalten, führen wir bei der Einstellung von Festangestellten gründliche Hintergrundüberprüfungen durch. Dies gewährleistet die Authentizität der Personen und minimiert das Risiko für wichtige Informationsbestände.
Wir verpflichten uns zu laufenden Schulungen zur Informationssicherheit und bieten bei Bedarf zusätzlichen Unterricht für bestimmte Gruppen und Einzelpersonen an. Unsere Mitarbeiter sind zur Vertraulichkeit verpflichtet und sind sich der Konsequenzen bewusst, die sich aus der Nichteinhaltung unserer Richtlinien und ihrer Verantwortung ergeben.
Bei Commbox befolgen wir einen strukturierten Prozess für das Ausscheiden von Mitarbeitern, der den rechtzeitigen Entzug von Systemberechtigungen/Zugangsrechten und die Rückgabe von Unternehmensvermögen umfasst.
Physische Sicherheit
Alle strategischen Rechenzentren entsprechen den Standards und den besten Praktiken der Branche in den Bereichen physische Sicherheit, Gebäudewartung, Brandbekämpfung, Klimatisierung, USV mit Generator-Backup und Zugang zu verschiedenen Strom- und Kommunikationsinfrastrukturen.
Commbox prüft im Rahmen des Vendor Risk Management-Programms regelmäßig Assurance-Berichte von Drittanbietern und Rechenzentren.
Der Zugang zu unseren Einrichtungen und zum Cloud-Provider wird mit einer Reihe von sicheren Methoden streng kontrolliert, um sicherzustellen, dass der Zugang ausschließlich auf der Grundlage betrieblicher Erfordernisse gewährt wird. Je nach Sensibilität der Einrichtung können diese Methoden Sicherheitspersonal, Ausweise, elektronische Zugangskontrollen mit berührungslosen Kartenlesern, physische Schlösser und PIN-Nummern umfassen.
Verwaltung von Drittanbietern
Wir haben ein Verfahren zur Zulassung von Drittanbietern, um sicherzustellen, dass alle Drittanbieter unsere Sicherheits- und Compliance-Standards erfüllen. Wir führen eine Risikobewertung durch, bevor wir mit einem bestimmten Lieferanten zusammenarbeiten, und treffen klare vertragliche Vereinbarungen, in denen die Anforderungen an Sicherheit und Datenschutz, die Verpflichtungen zur Einhaltung der Vorschriften und die Leistungserwartungen festgelegt sind. Außerdem führen wir Lieferantenprüfungen und -audits durch.
Sicherheit der Infrastruktur
Sichere Kanäle und starke Verschlüsselung. Intrusion Prevention Systems (IPS), Application Firewalls und netzwerkbasierte Firewalls. Der gesamte Datenverkehr, der durch CommBox geleitet wird, wird während der Übertragung mit einer 256-Bit-Verschlüsselung verschlüsselt. Unsere API- und Anwendungsendpunkte sind TLS/SSL und haben ein "A"-Rating. Zusätzlich verschlüsselt CommBox die Daten im Ruhezustand mit dem Industriestandard AES-256 Verschlüsselungsalgorithmus für maximale Sicherheit.
Wir setzen mehrstufige Kontrollen ein, einschließlich Netzwerksegmentierung, um ein angemessenes Schutzniveau für Systeme und Daten zu gewährleisten. Zusätzlich werden Kontrollen zur Verhinderung von Datenverlusten eingesetzt, um die Sicherheit zu erhöhen.
Offenlegung
Um ein Sicherheitsproblem an Commbox, einem führenden Anbieter von innovativen Lösungen, zu melden, legen wir größten Wert auf die Sicherheit unserer IT-Umgebung und unserer Kundendaten. Wir fördern die verantwortungsvolle Offenlegung von Schwachstellen, die in unseren Websites oder Anwendungen entdeckt werden, um unsere Sicherheitspraktiken kontinuierlich zu verbessern. Commbox schätzt den Beitrag externer Sicherheitsforscher und ist bestrebt, mit ihnen zusammenzuarbeiten, um potenzielle Schwachstellen zu überprüfen und zu beheben.
Wenn Sie glauben, ein Sicherheitsproblem in einem unserer Produkte oder Dienste gefunden zu haben, arbeiten Sie bitte mit uns zusammen und melden Sie es über unser HackerOne Responsible Vulnerability Disclosure Program an [email protected]. Wenn Sie Ihren Bericht einreichen, geben Sie bitte die folgenden Details an:
- Beschreibung des Problems und seines Standorts
- Erforderliche Schritte zur Reproduktion des Problems
Ihre Mitarbeit hilft uns, eine sichere Umgebung aufrechtzuerhalten und unsere Sicherheitslage zu verbessern.
DIE SICHERHEIT UNSERER DATEN
Bitte beachten Sie, dass die folgenden Aktivitäten streng verboten sind:
- Hacken, Eindringen oder der Versuch, unbefugten Zugriff auf Commbox-Anwendungen, -Systeme oder -Daten zu erlangen, was eine Verletzung der geltenden Gesetze darstellt.
- Handlungen, die sich nachteilig auf Commbox auswirken oder den Betrieb unserer Anwendungen oder Systeme stören könnten (z. B. Spamming, Brute-Force-Angriffe, Denial-of-Service-Angriffe).
- Herunterladen, Kopieren, Offenlegen oder Verwenden von geschützten oder vertraulichen Daten von Commbox, einschließlich Kundendaten.
- Durchführung physischer oder elektronischer Angriffe auf das Personal, das Eigentum oder die Datenzentren von Commbox.
Wir empfehlen Ihnen, unsere Richtlinie zur Offenlegung von Sicherheitslücken zu lesen, bevor Sie Tests durchführen oder Sicherheitslücken melden. Wenn Sie eine Schwachstelle melden, wird Commbox sich bemühen, umgehend zu reagieren. Vielen Dank, dass Sie uns dabei helfen, die Daten von Commbox und unseren Kunden zu schützen.
