Sicherheitsüberblick der Dienstleistungen

Sicherheitsüberblick

CRM-service Oy erkennt an, dass die Vertraulichkeit, Verfügbarkeit und Integrität der Informationen unserer Kunden für ihren Geschäftsbetrieb entscheidend sind. Wir verwenden einen mehrstufigen Sicherheitsansatz, um wichtige Informationen zu schützen und unsere Anwendungen, Systeme und Prozesse ständig zu überwachen und zu verbessern, um den wachsenden Anforderungen und Herausforderungen der Sicherheit gerecht zu werden. Dieses Dokument beschreibt einige der Mechanismen und Prozesse, die wir implementiert haben, um sicherzustellen, dass Ihre Daten geschützt sind. Unsere Sicherheitspraktiken sind in fünf verschiedene Bereiche unterteilt: Physische Sicherheit, Netzwerksicherheit, Menschen bezogene Prozesse, Software-Sicherheit, Redundanz und Geschäftskontinuität.

 

Sichere Rechenzentren

Unsere Dienste befinden sich in erstklassigen Rechenzentren in Finnland (Siehe das Datencenter-Übersichtsdokument).

Alle CRM-service Produkte werden in unserer eigenen Server- und Netzwerkinfrastruktur gehostet. Die Infrastruktur der Datenbanken und Anwendungsserver wird nur von CRM-service Mitarbeitern verwaltet und gewartet.

 

Physische Sicherheit

• Rechenzentren in Gebäuden mit Betonwänden.
• Computerausrüstung in zugangskontrollierten Stahlkäfigen.
• Videoüberwachung in der Anlage und im Umkreis.
• Automatische Einbruchsicherungssysteme.
• Rechenzentren in bedacht auf  lokale seismische, Sturm- und Überschwemmungsrisiken entwickelt.
• 24.7.365 Sicherheit, einschließlich Fuß-Patrouillen und Umkreisinspektionen.
• Zutrittskontrollsystem mit dreifachem elektrischem Türzugang.

 

Menschen bezogene Prozesse

Die Entwicklung und der Betrieb der Rechenzentrumsinfrastruktur umfasst die neuesten Technologien, Richtlinien zur Eskalation, Verwaltung, Wissensaustausch, Risiken sowie den täglichen Betrieb. Das Sicherheitsteam des CRM-Services verfügt über langjährige Erfahrung in der Konzeption und dem Betrieb von Rechenzentren und verbessert kontinuierlich die Sicherheitsprozesse von CRM-service Oy.

• Ausgewählte Mitarbeiter. Nur Mitarbeiter mit der höchsten Freigabe haben Zugriff auf unsere Datencenter-Daten. Der Mitarbeiterzugang wird protokolliert und die Passwörter sind streng reguliert. Wir beschränken den Zugriff auf Kundendaten auf nur einige wenige dieser Mitarbeiter, die einen solchen Zugriff benötigen, um Support und Fehlerbehebung für unsere Kunden bereitzustellen.
• Audits. Audits werden regelmäßig durchgeführt und der gesamte Prozess wird vom Management überwacht
• Auf Bedarfsbasis. Der Zugriff auf Datencenterinformationen sowie die Kundendaten erfolgt nur bei Bedarf und nur, wenn sie vom Kunden genehmigt werden (z. B. im Rahmen eines Supportfalls) oder von leitendem Sicherheitsmanagement zur Bereitstellung von Support und Wartung.

 

Identitäts- und Zugriffsverwaltung (IZV)

Der CRM-service IZV ermöglicht, dass die richtigen Personen zur richtigen Zeit auf die richtigen Ressourcen zugreifen können. Aus Sicherheitsgründen beschränkt CRM-Service den SSO- und Anwendungszugriff nur auf einige bekannte externe Apps wie Microsoft Exchange, Microsoft Outlook, Microsoft AD und Google Kalender.

• Zugriff auf CRM-Daten. Im CRM-service-System werden die Benutzerrechte für CRM-service-Dateninhalte über Benutzerprofile und Rollen definiert. Über Profile und Rollen können Lese- / Schreibzugriffe auf CRM-service-Daten (auf Entitätsebene) definiert werden (weitere Informationen hierzu in resources.crm-service.fi/en/guide/system-access). Alle CRM-service-Nutzeraktionen werden in Audit-Trail-Logs gespeichert, die anschließend von den Admin-Nutzern des CRM-service überprüft werden können.
• Das CRM-Service AD Identity Connect synchronisiert Nutzer und deren Attribute vom Active Directory (AD) zum CRM-service. Wenn ein Nutzer im AD erstellt wird, kann das gleiche Nutzerkonto auch automatisch für das CRM-service erstellt werden. Wird ein Nutzer aus dem AD gelöscht, wird gleichzeitig auch das Nutzerkonto im CRM-service deaktiviert.
• Die Integration zwischen CRM-service und einer Drittanbieter-Anwendung erfolgt über die Web-Service-Schichten des CRM-Service. Der sichere Zugriff für verschiedene Webdienstmethoden erfolgt über sichere API-Schlüssel und Berechtigungen auf API-Schlüsselebene. API-Schlüssel und Berechtigungen werden von Admin-Nutzern des CRM-Systems verwaltet.
• CRM-Service als Identitätsanbieter. Die CRM-service Webservice-Schicht kann Kontaktzugriffsberechtigungen für eine Anwendung eines Drittanbieters bereitstellen. Der Kontaktzugriff kann in den Nutzereinstellungen des CRM-service Administrators verwaltet werden, und es können auch verschiedene Nutzerprofile erstellt werden. Dies kann z.B. in externen Portalen, wie z.B in einem Self-Service-Portal des Endkunden angewendet werden, um den Zugriff auf gewünschte Dateninhalte und -funktionen im CRM zu ermöglichen.
• IP-Zugriffskontrolle. Der Zugriff auf das CRM-service kann auf definierte IP-Adressen, IP-Adressbereiche oder IP-Subnetze beschränkt werden. Für ausgewählte Nutzertypen können ebenso Einschränkungen erstellt werden: Normal, Normal + Admin und Webservice. Einschränkungen können auch ein Anfags- und Enddatum haben.

 

Redundanz und Geschäftskontinuität

• Umgebungssteuerungsredundanz. Die Räumlichkeiten des Rechenzentrums sind mit Feuchtigkeits- und Temperaturkontrollsystemen ausgestattet. Die Kühlsysteme sind redundant (N + 1).
• Stromredundanz. CRM-Service konfiguriert seine Server für die Stromredundanz – von der Energieversorgung bis zur Stromlieferung. Wir verwenden unterirdische Nutzleistung und redundante (N + 1) USV-Systeme. Die Stromverteiler und Dieselgeneratoren (N + 1) sind ebenfalls redundant.
• Internet-Redundanz. Hochgeschwindigkeitsverbindungen zur Außenwelt spielen eine Schlüsselrolle in Serverraumgeräten. Wir stellen die Datenverbindungen sicher, indem wir mehrere betreiberunabhängige Netzwerke verwenden.
• Redundante Netzwerkgeräte. Wir verwenden redundante interne Netzwerke mit redundanten Netzwerkgeräten. Die Netzwerke basieren auf kreuzweise verbundenen 10 Gbit / s-Switches.
• Branderkennung und -unterdrückung. Rechenzentren sind mit doppelten Feuermeldern und automatischen Feuerlöschsystemen ausgestattet. Alle Strukturen sind feuerbeständig.
• Datenschutz und Backups. Alle Daten werden täglich in einem anderen Rechenzentrum gespeichert und für 30 Tage aufbewahrt. Die Daten werden über verschlüsselte Links übertragen.

 

Sichere Systemnutzung und Sitzungen

• Die Verbindung zur CRM-service-Umgebung erfolgt über TSL-Verschlüsselungsprotokolle.
• Einzelne Benutzersitzungen werden mit jeder Transaktion identifiziert und erneut verifiziert, wobei ein eindeutiges Token verwendet wird.
• Brute-Force-Schutzfunktionen können in den Administratoreinstellungen aktiviert werden. Eine IP-Adresse kann nach wiederholt fehlgeschlagenen Anmeldeversuchen gesperrt werden.
• Eine Passwortablaufzeit (1-6 Monate) und eine minimale Passwortlänge können in den Administratoreinstellungen aktiviert werden.
• Die Sitzungszeitüberschreitung (Minuten) kann in den Administratoreinstellungen aktiviert werden.

 

Netzwerksicherheit

• Umkreis-Firewalls blockieren nicht verwendete Protokolle.
• Interne Firewalls trennen den Datenverkehr zwischen der Anwendung und den Datenbankstufen.
• Die Angriffserkennung erkennt und warnt bei Sicherheitsereignissen.
• Ein Drittanbieterdienstleister scannt das Netzwerk kontinuierlich extern und warnt bei Änderungen.

 

Cloud-Service-Produktion

• Alle Server und Netzwerke laufen in redundanten Umgebungen.
• Die Dienste befinden sich auf einem VMware-basierten Server.
• SAN-Diskettenlaufwerke auf Unternehmensebene.

 

Software-Sicherheit

• Unsere Sicherheitspersonen überwachen Benachrichtigungen aus verschiedenen Quellen und Warnungen von internen Systemen, um Bedrohungen zu erkennen und zu verwalten.
• Wir folgen den OWASP (www.owasp.org) Empfehlungen.
• Das System ist vor unbefugtem Zugriff geschützt.