Werden die eingesetzten Systeme und Software regelmäßig einem Pen-Test unterzogen?
Ja, es werden jährlich externe Pen-Tests durchgeführt.Werden die Kundendaten während der Übertragung verschlüsselt? (in Bewegung) Der gesamte Datenverkehr, der über öffentliche Netzwerke gesendet wird, wird mit einer Verschlüsselung nach Industriestandard verschlüsselt. HTTPS beinhaltet ein Softwarezertifikat mit einer Schlüsselgröße von 2048 Bit, dem Signaturalgorithmus SHA384 mit RSA und TLS 1.2-Unterstützung. Siehe https://www.ssllabs.com/ssltest/analyze.html?d=webapp.honestly.de für weitere Informationen.
Werden die Kundendaten im Ruhezustand verschlüsselt?
Ja, alle Daten werden im Ruhezustand verschlüsselt, einschließlich Offsite-Backups. Die Daten sind mit AES 256 Bit verschlüsselt.Wo sind die Backup-Standorte (Stadt und Land)? Backups werden verschlüsselt gespeichert und laufen täglich in einem Rechenzentrum in Frankfurt, Deutschland (Offsite). Mehrere Verfügbarkeitszonen.
Wo stehen die Rechenzentren von Honestly (Stadt und Land)? Frankfurt, Deutschland. Mehrere Verfügbarkeitszonen.
Ist das System redundant?
Yes:- Loadbalanced (Lastausgleich) mehrere redundante Anwendungsinstanzen, mehrere redundante Speicherorte und mehrere redundante Datenbankinstanzen
- Offsite-Backups können jederzeit wiederhergestellt werden
Wie lange ist die Wiederherstellungszeit bei einem Serverausfall/-beschädigung?
Dienste werden automatisch wiederhergestellt, wenn Instanzen ausfallen.Welche Art von Softwareentwicklungsprozessen verwendet Honestly, um sichere Software zu produzieren?
- Kontinuierliche Integration & kontinuierliche Auslieferung inkl. Unit-, Funktions- und Integrationstests.
- Der Zugriff auf den Quellcode ist auf einer Need-to-know-Basis beschränkt
- Der Zugriff auf den Quellcode ist pro Anwendung und Produkt eingeschränkt
- Alle Entwickler werden kontinuierlich in Bezug auf die OWASP Top 10 geschult
- Andere verwandte Literatur zum Thema Sicherheit
Welche Art von Logging-Einrichtungen verwendet Honestly?
- Hochmoderne Sicherheitsüberwachung und -protokollierung
- Zentrales Logging auf Anwendungs- und Webserverebene
Können Kund:innen Sicherheits- oder Audit-Logs einsehen?
Honestly stellt kein kontoweites Audit- oder Sicherheits-Log in der Anwendung bereit. Keine Rolle – weder Admin noch Manager, Analyst oder Report Viewer – kann eine Login-Historie, fehlgeschlagene Anmeldeversuche, Export-Zugriffe oder Änderungen an den Konto-Einstellungen im Produkt einsehen. Zwei Dinge sind für Kund:innen selbst nachvollziehbar:- Das Änderungsprotokoll einer Umfrage – wer welche Umfrage-Einstellung oder Zugriffsberechtigung an welchem Datum geändert hat. Protokolliert wird das Datum der Änderung, nicht die Uhrzeit. Admins sehen das Änderungsprotokoll jeder Umfrage des Kontos; Nutzer:innen mit der Rolle Manager, Analyst oder Report Viewer sehen es für die Umfragen, auf die sie ohnehin Zugriff haben. Die Funktion „Umfrage-Änderungsprotokoll“ ist in den Paketen Team, Business und Enterprise enthalten. Einzelheiten findest du unter Umfrage-Änderungen.
- Die eigenen aktiven Sitzungen – unter Profil → Aktive Sitzungen sieht jede angemeldete Person, mit welchem Browser und Betriebssystem ihr Konto derzeit angemeldet ist und wann die Anmeldung erfolgt ist, und kann eine einzelne Sitzung über Diese Sitzung abmelden oder alle übrigen über Alle anderen Sitzungen abmelden beenden. Das gilt ausschließlich für die eigenen Sitzungen: Auch Admins sehen die Sitzungen anderer Nutzer:innen nicht.
Sicherheitsrelevante Ereignisse werden darüber hinaus auf Infrastrukturebene protokolliert und überwacht, einschließlich der automatischen Sperrung von Benutzern nach fehlgeschlagenen Anmeldeversuchen (siehe „Welche Art von Logging-Einrichtungen verwendet Honestly?“ und „Wie schützen Sie Ihre Systeme vor Sicherheitslücken?“). Diese Protokolle dienen dem Betrieb und der Sicherheit der Plattform und sind kundenseitig nicht abrufbar.
Sind die Honestly-Rechenzentren zertifiziert?
Ja. Nähere Informationen zu allen Zertifizierungen findest du nachfolgend: https://aws.amazon.com/de/compliance/programs/ & https://aws.amazon.com/de/compliance/programs/Wie ist die physische Sicherheit im Rechenzentrum geregelt?
Hier ausführliche Informationen https://aws.amazon.com/de/compliance/programs/ & https://aws.amazon.com/de/compliance/programs/Wie schützen Sie Ihre Systeme vor Sicherheitslücken?
- Systeme werden regelmäßig (täglich) auf Sicherheitslücken gescannt
- System-Sicherheitspatches werden innerhalb von 24 Stunden eingespielt
- Kritische Software-Sicherheitspatches werden innerhalb von 24 Stunden eingespielt
- Pakete werden automatisch im Rahmen der kontinuierlichen Integration gescannt
- Komplette Server-Scans werden durchgeführt (Port, Virus, Firewall, Datei…)
- Instanzen werden wöchentlich gescannt
- Logs werden analysiert und Benutzer werden aufgrund von Fehlversuchen automatisch gesperrt
Sind sich Ihre Mitarbeiter ihrer Verpflichtung bewusst, die Vertraulichkeit aller Kundendaten zu wahren?
Ja:- Es bestehen Geheimhaltungsvereinbarungen (NDAs) mit allen Mitarbeitern
- Jährliche Schulung für alle Mitarbeiter zum Thema Datenschutz mit anschließendem Test und Dokumentation
- Weitere Awareness-Trainings wie simulierte Phishing-Attacken werden durchgeführt
In welchen Ländern werden die Kundendaten gespeichert und verarbeitet?
Alle Honestly-Server befinden sich in Deutschland. E-Mail-Benachrichtigungen werden über Mailjet mit Rechenzentren in der Europäischen Union versendet.Wie funktioniert die private App-Registrierung über MDM?
Diese Beschreibung gilt für Kunden, die ihr eigenes MDM-System für den Rollout von Honestly Engage an ihre Mitarbeiter nutzen. Um jeden Mitarbeiter mit dem Konto des Kunden zu assoziieren, wird ein geheimes, zufällig generiertes Konto-Token über Apples Managed-App-Konfigurationsfunktion auf das Gerät des Mitarbeiters gepusht (verschlüsselt). Beim ersten Start sendet die Engage App diesen Account-Token an den Server von Honestly. Während dieses verschlüsselten Registrierungsprozesses wird eine neue App-Instanz zusammen mit einem geheimen Zugangs-Token generiert, das von der App in Zukunft zur Authentifizierung verwendet wird. Die generierte App-Instanz wird mit dem Konto des Kunden unter Verwendung des Konto-Tokens verknüpft.Wie gehen Sie mit Authentifizierung & Autorisierung um?
Wir unterstützen die Anmeldung mit E-Mail-Adresse und Passwort. Wir unterstützen auch SSO-Anmeldung. Wir unterstützen mehrere Rollen und Admins können Benutzern Zugriff auf Segmente von Mitarbeiterdaten geben. Die Trennung der Berechtigungen erfolgt auf einer logischen Ebene.Datenfluss und Architektur
