Vtiger - Technische und organisatorische Maßnahmen (TOMs)
Dieses Dokument ergänzt Anhang II: Technische und organisatorische Maßnahmen des Datenverarbeitungszusatzes (DPA) zwischen Vtiger und dem Kunden gemäß Art. 28 (Auftragsverarbeiter) DSGVO (EU-Datenschutz-Grundverordnung).
Vtiger setzt technische und organisatorische Maßnahmen nach Artikel 32 (Sicherheit der Verarbeitung) der DSGVO um. Diese Maßnahmen werden je nach Machbarkeit und Stand der Technik kontinuierlich verbessert, einschließlich der aktiven ISO 27001-Zertifizierung zur Verbesserung von Sicherheit und Schutz.
Bei Vtiger verpflichten wir uns, verschiedene Richtlinien, Standards und Prozesse einzuhalten und durchzusetzen, um personenbezogene Daten und andere Daten, auf die unsere Mitarbeiter zugreifen, zu schützen. Unser Engagement für den Datenschutz umfasst ein spezialisiertes Team für Datenschutz und Sicherheit, die Bereitstellung von Datenschutz für externe Parteien, die Gewährleistung eines einheitlichen Schutzes im gesamten Unternehmen, eine strenge Kontrolle der Subunternehmer sowie die Durchführung regelmäßiger Audits und Zertifizierungen. Wir aktualisieren diese Maßnahmen regelmäßig, um sicherzustellen, dass sie den Branchenstandards entsprechen.
Die nachfolgende Beschreibung der technischen und organisatorischen Maßnahmen erfolgt, soweit zutreffend, differenziert nach diesen Datenkategorien.
1. Vertraulichkeit
1.1 Physische Zugangskontrolle
Es sind Maßnahmen vorhanden, um den Zugriff unbefugter Personen auf Datenverarbeitungssysteme, auf denen personenbezogene Daten verarbeitet werden, zu verhindern.
Technische Maßnahmen
Abgeschlossenes Gebäude und Büro
Biometrischer Zugang
Manuelles Schließsystem
Türen mit automatischem Schließsystem
Sicherheitspersonal
Videoüberwachung des Eingangs
Keine Produktionsserver vor Ort
Organisatorische Maßnahmen
Checkliste mit den wichtigsten Vorschriften
Empfang mit Sicherheitspersonal
Gästebuch
Mitarbeiter-/Besucherausweis
Besucher in Begleitung eines Mitarbeiters
Informationssicherheitsrichtlinie
Arbeitsanweisungen Zugangskontrolle
Obwohl Vtiger der Datensicherheit höchste Priorität einräumt, ist es wichtig, das Modell der geteilten Verantwortung im Cloud-Computing anzuerkennen. Vtiger nutzt Cloud Service Provider (CSPs) wie AWS, DigitalOcean und OV, um Cloud-Ressourcen bereitzustellen. Diese CSPs sichern die zugrunde liegende Infrastruktur und unterhalten robuste Sicherheitskontrollen. Weitere Einzelheiten zu den Sicherheitskontrollen der ISPs finden Sie hier Hier .
1.2 Logische Zugriffskontrolle
Es wurden Sicherheitsmaßnahmen getroffen, um den unbefugten Zugriff auf Datenverarbeitungssysteme zu verhindern.
Technische Maßnahmen
Melden Sie sich mit einem Benutzernamen und einem sicheren Passwort an
Firewall
Einbrucherkennungssystem
Verwenden Sie VPN für den Fernzugriff
Verschlüsselung von Festplatten, Geräten/Laptops/Tablets
Zwei-Faktor-Authentifizierung
Automatische Desktop-/Laptop-Sperre
Auf Geräten und Servern installierte Antivirensoftware
Der Zugriff wird überwacht und protokolliert
Automatische Kontosperrung bei erfolglosen Anmeldungen/Authentifizierungen
Sämtliche Nutzungsaktivitäten und Datenänderungen werden protokolliert
Organisatorische Maßnahmen
Verwaltung von Benutzerberechtigungen, einschließlich rollenbasierter Autorisierung
Erstellen benutzerspezifischer Profile
Informationssicherheitsrichtlinie
Kennwortrichtlinie
Richtlinie für mobile Geräte
Arbeitsanweisungen: IT-Sicherheits-SOP und Mitarbeiter-Zugriffskontrolle
Mitarbeiterprüfung
Schulung und Bewusstsein
De-minimis-Prinzip
Vtiger-Mitarbeiterzugriff und Kundenkontrolle
Vtiger-Mitarbeiter können nur über sichere Schnittstellen auf Vtiger-Produkte und Kundendaten zugreifen. Dieser Zugriff wird nur gewährt, wenn Kunden ihn in ihren Einstellungen ausdrücklich aktivieren. Alle Zugriffsanfragen werden zu Prüfzwecken sorgfältig protokolliert.
Vtiger beschränkt den Mitarbeiterzugriff je nach Bedarf auf bestimmte Mitarbeiter und stellt sicher, dass nur autorisierte Personen aus legitimen Gründen Kundendaten einsehen können. Auf die Kundenanwendung wird zu folgenden Zwecken zugegriffen:
Kundenbetreuung
Beheben technischer Probleme bei Kunden
Identifizieren und Reagieren auf potenzielle Sicherheitsbedrohungen
1.3 Berechtigungskontrolle
Es sind Maßnahmen getroffen, die sicherstellen, dass nur befugte Personen auf die Datenverarbeitung zugreifen können. Personenbezogene Daten können bei der Verarbeitung, Nutzung und Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden.
Technische Maßnahmen
Physische Löschung von Datenträgern/Geräten
SSH-verschlüsselter Zugriff
Zertifizierte SSL-Verschlüsselung
Schreddern Sie Akten und Papiere, die nicht mehr verwendet werden
Automatische Löschung von Backups aus dem Archiv nach Ablauf der Aufbewahrungsfrist oder auf Kundenwunsch
Protokollierung der Zugriffe auf Anwendungen, insbesondere bei der Eingabe, Änderung und Löschung von Daten
Organisatorische Maßnahmen
Informationssicherheitsrichtlinie
Minimieren Sie die Administratorrollen
Verwaltung der Benutzerrechte durch Administratoren
Arbeitsanweisungen zum Umgang mit den Informationen und Vermögenswerten
1.4 Trennungskontrolle
Es werden Maßnahmen zur strikten Datentrennung umgesetzt, um sicherzustellen, dass für unterschiedliche Zwecke erfasste Daten isoliert bleiben. Dazu gehört eine logische Trennung, bei der Daten kategorisiert und in unterschiedlichen Abschnitten innerhalb des Systems gespeichert werden, und möglicherweise eine physische Trennung, bei der Daten auf völlig unterschiedlicher Hardware gespeichert werden.
Bereitstellung einer Entwicklungs-, Test- und Produktionsumgebung
Organisatorische Maßnahmen
Informationssicherheitsrichtlinie
Datenschutzrichtlinie
Steuerung über Berechtigungskonzept
Arbeitsanweisung für: Betriebssicherheit und Sicherheit in der Softwareentwicklung und beim Testen
1.5 Verschlüsselungskontrolle
Durch den Einsatz modernster Methoden werden Maßnahmen zum Schutz der Daten während der Übertragung und im Ruhezustand implementiert.
Technische Maßnahmen
Datenverschlüsselung während der Übertragung (In-Motion)
Implementierte Transport Layer Security (TLS 1.2 und höher) und Secure Sockets Layer (SSL)-Protokolle für die gesamte Datenübertragung.
Diese Protokolle verschlüsseln Daten während der Übertragung zwischen Systemen und machen sie für jeden, der sie abfängt, unlesbar.
Verschlüsselung ruhender (gespeicherter) Daten
Speicherplatten: Verschlüsselt mit Disk-Level-Verschlüsselung
Sensible Daten: Verschlüsselt mit AES-256 (256-Bit Advanced Encryption Standard)
Schlüsselverwaltung: AWS Key Management Service (KMS)
Backups: Verschlüsselt mit AES-256 bei AWS S3
Datenmaskierung: Kundenspezifische Details werden verschleiert.
Organisatorische Maßnahmen
Schlüsselrotation: Regelmäßige Rotation der für Daten und Backups verwendeten Verschlüsselungsschlüssel, um das mit einem kompromittierten Schlüssel verbundene Risiko zu minimieren.
Zugriffskontrolle: Beschränken Sie den Zugriff auf Verschlüsselungsschlüssel auf eine begrenzte Anzahl autorisierter Mitarbeiter, die die Informationen unbedingt benötigen.
Auditing: Führen Sie detaillierte Schlüsselverwendungsprotokolle, um den Zugriff zu überwachen und mögliche Anomalien zu erkennen.
2. Integrität
2.1 Übertragungskontrolle
Es sind Maßnahmen vorhanden, um den unbefugten Zugriff auf personenbezogene Daten während der elektronischen Übertragung oder während der Speicherung auf Datenträgern zu verhindern und sicherzustellen, dass die Daten nicht gelesen, kopiert, verändert oder entfernt werden können.
Technische Maßnahmen
Verwendung von VPN
Protokollierung der Zugriffe und Abrufe
Bereitstellung über verschlüsselte Verbindungen wie SFTP, HTTPS und sichere Cloud-Speicher
Organisatorische Maßnahmen
Erhebung regelmäßiger Abruf- und Übermittlungsvorgänge
Sorgfältige Auswahl des Transportpersonals und der Fahrzeuge
Persönliche Übergabe mit Protokoll
Informationssicherheitsrichtlinie
Datenschutzrichtlinie
2.2 Eingabesteuerung
Die Maßnahmen dienen dazu, zu überprüfen und zu kontrollieren, wer personenbezogene Daten eingegeben, geändert oder aus Datenverarbeitungssystemen entfernt hat. Die Protokollierung kontrolliert die Eingabe auf verschiedenen Ebenen, wie etwa Betriebssystem, Netzwerk, Firewall, Datenbank und Anwendung.
Technische Maßnahmen
Technische Protokollierung der Eingabe, Änderung und Löschung von Daten
Manuelle oder automatisierte Kontrolle der Protokolle (nach strengen internen Vorgaben)
Organisatorische Maßnahmen
Übersicht, mit welchen Programmen welche Daten eingegeben, geändert oder gelöscht werden können
Nachvollziehbarkeit der Dateneingabe, -änderung und -löschung über individuelle Benutzernamen
Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Berechtigungskonzepts
Klare Verantwortlichkeiten bei Löschungen
Informationssicherheitsrichtlinie
3. Verfügbarkeit und Belastbarkeit
3.1 Verfügbarkeitskontrolle
Es sind Maßnahmen vorhanden, um personenbezogene Daten vor zufälliger Zerstörung oder Verlust zu schützen (z. B. USV, Klimatisierung, Brandschutz, Datensicherung, sichere Datenträgeraufbewahrung).
Technische Maßnahmen
Mindestens 99.9 % Betriebszeit (ausgenommen an Wochenenden und Nächten geplante Wartungsarbeiten).
Kontinuierliche Datenverfügbarkeit
Brand- und Rauchmeldesysteme
Feuerlöscher Serverraum
Serverraumüberwachung Temperatur und Luftfeuchtigkeit
Serverraum-Klimatisierung
USV-System und Notstromdieselgeneratoren
Schutzsteckdosenleisten im Serverraum
RAID-System / Festplattenspiegelung
Videoüberwachung Serverraum
Organisatorische Maßnahmen
Backup-Konzept
Vorhandensein eines Notfallplans
Offsite-Backup-Speicher
Trennung von Betriebssystem- und Datenpartitionen bei Bedarf
3.2 Kontrolle der Wiederherstellbarkeit
Es sind Maßnahmen vorhanden, um im Falle eines physischen oder technischen Zwischenfalls den Zugriff auf personenbezogene Daten rasch wiederherzustellen.
Technische Maßnahmen
Backup-Überwachung und -Berichterstellung
Wiederherstellbarkeit durch Automatisierungstools
Backup-Konzept nach Kritikalität und Kundenvorgaben
Organisatorische Maßnahmen
Notfallwiederherstellungsplan
Kontrolle des Backup-Prozesses
Regelmäßiges Testen der Datenrettung und Protokollieren der Ergebnisse
Bewahren Sie Sicherungsmedien an einem sicheren Ort außerhalb des Serverraums auf.
Vorhandensein eines Notfallplans
4. Verfahren zur regelmäßigen Überprüfung, Beurteilung und Bewertung
4.1 Datenschutzmanagement (DPM)
Data Protection Management (DPM) umfasst eine umfassende Strategie und eine Reihe von Verfahren zur Sicherung, Verwaltung und zum Schutz vertraulicher Informationen während ihres gesamten Lebenszyklus. Dazu gehören die Zugriffskontrolle, die Verhinderung unbefugter Nutzung und die Gewährleistung der Datenwiederherstellung im Falle von Vorfällen.
Technische Maßnahmen
Zentrale Dokumentation aller Datenschutzbestimmungen mit Zugriff für Mitarbeiter
Sicherheitszertifizierung nach ISO 27001
Mindestens einmal jährlich wird die Wirksamkeit der TOMs überprüft und die TOMs werden aktualisiert
Organisatorische Maßnahmen
Ein Datenschutzbeauftragter (DPO) wird ernannt.
Alle Mitarbeiter sind geschult und auf die Wahrung der Vertraulichkeit und des Datengeheimnisses verpflichtet. Sie werden mindestens jährlich regelmäßig zur Sensibilisierung geschult.
Bei Bedarf werden Datenschutz-Folgenabschätzungen (DPIA) durchgeführt.
Zur Erfüllung der Informationspflichten nach Art. 13 und 14 DSGVO wurden Prozesse etabliert.
Für den Umgang mit Informationsanfragen betroffener Personen besteht ein formalisierter Prozess.
Datenschutzaspekte sind in unser unternehmerisches Risikomanagement integriert.
Wichtige Teile des Unternehmens, einschließlich des Rechenzentrumsbetriebs, sind nach ISO 27001 zertifiziert und es werden jährliche Überwachungsaudits durchgeführt.
4.2 Vorfallreaktionsmanagement
Es gibt Maßnahmen zur Unterstützung der Reaktion auf Sicherheitsverletzungen und des Prozesses bei Datenschutzverletzungen.
Technische Maßnahmen
Einsatz einer Firewall und regelmäßige Updates
Einsatz von Spamfiltern und regelmäßige Aktualisierung
Einsatz von Virenscannern und regelmäßige Updates
Intrusion Detection System (IDS) für Kundensysteme auf Bestellung
Intrusion Prevention System (IPS) für Kundensysteme auf Bestellung
Organisatorische Maßnahmen
Ein dokumentierter Prozess zur Identifizierung und Meldung von Sicherheitsvorfällen und Datenschutzverletzungen, einschließlich Meldepflichten gegenüber Aufsichtsbehörden
Das Standardverfahren zur Behandlung von Sicherheitsvorfällen, an denen der Datenschutzbeauftragte (DPO) beteiligt ist
Dokumentieren von Sicherheitsvorfällen und Datenschutzverletzungen mithilfe des internen Ticketsystems
Der Standardprozess zur Nachverfolgung von Sicherheitsvorfällen und Datenschutzverletzungen
Richtlinie zur Benachrichtigung bei Verstößen
4.3 Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen
Es sind Maßnahmen vorhanden, um den Grundsätzen des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen gemäß Art. 25 DSGVO gerecht zu werden.
Technische Maßnahmen
Genehmigung von Drittanbieteranwendungen: Für alle Drittanbieteranwendungen, die bei der Entwicklung verwendet werden, ist die Genehmigung durch Teamleiter und IT-Betriebsmanager erforderlich.
Sichere Downloadquelle: Fordern Sie Downloads von Entwicklungstools nur von sicheren Quellen wie Herstellerservern an.
Single Sign-On (SSO): Implementieren Sie, wenn möglich, SSO für Anwendungen von Drittanbietern, um den Zugriff zentral zu verwalten.
Deaktivieren weniger sicherer Anwendungen: Deaktivieren Sie weniger sichere Anwendungen von Drittanbietern standardmäßig über Administratorkonfigurationen.
Organisatorische Maßnahmen
Datenschutzbewusstes Design: Fördern Sie eine Produktentwicklung, bei der die Menge der von Benutzern einzugebenden Daten minimiert wird. Vermeiden Sie unnötige Datenfelder oder machen Sie sie optional.
Standardmäßige Datenschutzeinstellungen: Wählen Sie standardmäßig datenschutzfreundliche Einstellungen vor, um dem Schutz von Benutzerdaten Priorität einzuräumen.
PbD: Datenschutzrichtlinie (beinhaltet die Grundsätze „Datenschutz durch Technikgestaltung/durch datenschutzfreundliche Voreinstellungen“)
4.4 Auftragssteuerung (Outsourcing, Subunternehmer und Auftragsabwicklung)
Es sind Maßnahmen vorhanden, die sicherstellen, dass die im Auftrag des Kunden verarbeiteten personenbezogenen Daten nur gemäß den Anweisungen des Kunden verarbeitet werden.
Technische Maßnahmen
Überwachung von Fernzugriffen durch Externe, zB im Rahmen des Remote-Supports
Entsprechende Überwachung der Subunternehmer.
Organisatorische Maßnahmen
Verarbeiten Sie die Daten nach Kundenvorgaben
Erstellen von Arbeitsanweisungen für das Lieferantenmanagement und die Lieferantenbewertung
Vorschriften zum Einsatz zusätzlicher Subunternehmer einhalten
Wählen Sie Unterauftragsverarbeiter sorgfältig aus und achten Sie dabei vor allem auf Datenschutz und Sicherheit
Abschluss notwendiger Datenverarbeitungsverträge, wie Auftragsverarbeitung oder EU-Standardvertragsklauseln
Stellen Sie sicher, dass die Mitarbeiter des Auftragnehmers das Datengeheimnis wahren und die Informationssicherheitsrichtlinie einhalten.
Achten Sie darauf, dass Sie die Daten nach Vertragsende vernichten.