Synitis Engagement für Ihre Sicherheit

Cloud-Betrieb

Wie schützen und isolieren Sie unsere Kundensysteme und -daten im Ruhezustand und während der Übertragung?

• Systeme und Daten sind in einer isolierten Cloud-Hosting-Umgebung von allen anderen Syniti-Betriebssystemen, Endbenutzern und Entwicklern getrennt. Der Zugriff ist auf Cloud-Administratoren und indirekt auf Berater beschränkt, die den Kunden bei Migrationen und anderen geschäftsrelevanten Maßnahmen unterstützen – und zwar ausschließlich nach dem Need-to-know-Prinzip.
• Die Mieter verfügen über eigene, isolierte Umgebungen, die keinen Zugriff auf andere Kundenumgebungen haben.
• Kundendaten, die in die Cloud-Betriebsumgebung hinein- oder aus ihr heraus übertragen werden, werden während der Übertragung mit branchenüblichen Verschlüsselungsprotokollen verschlüsselt.
• Die Systeme verschlüsseln ruhende Daten auf Festplattenebene mit branchenüblicher Verschlüsselung.
• Der Zugriff der Cloud-Betriebsadministratoren auf die Kundenumgebungen erfolgt über ein sicheres Webportal, wodurch die meisten Bedenken hinsichtlich der Sicherheit von Syniti-Laptops, Desktop-PCs, Mobilgeräten, drahtlosen Geräten usw. ausgeräumt werden.
• Alle Cloud-Operations-Administratoren sind mit Multi-Faktor-Authentifizierung (MFA) ausgestattet, um die Identität zu bestätigen.
• Die Berechtigungserteilung wird über die PAM-Technologie (Privilege Access Management) verwaltet, um sicherzustellen, dass der Zugriff nur nach dem Need-to-Know-Privileg gewährt wird und das Prinzip der minimalen Berechtigungen eingehalten wird.
• Alle externen Bedrohungen werden bereits am Perimeter selbst durch die Funktionalitäten von Next-Generation-Firewalls kontrolliert.

Ist Ihre Infrastruktur SOC 2-konform?

• Syniti arbeitet mit renommierten globalen IaaS-Hyperscalern zusammen, die die SOC-2-Konformität gewährleisten.
• Die Cloud-Operations-Hosting-Umgebung von Syniti ist sowohl SOC 2 Typ 1-konform als auch SOC 2 Typ 2-zertifiziert.

Welche Endpunktsicherheitsmaßnahmen implementieren Sie für die Kundensysteme selbst?

• Wir betreiben hostbasierte Firewalls, EDR-Software und andere Schutzmechanismen, die Folgendes gewährleisten:
  • Die validierte Software ist installiert und läuft.
  • Die validierten Prozesse laufen auf den Kundensystemen.
  • Die Viren- und Malware-Analysen der Kundensysteme sind aktuell und präzise.
  • Hostbasierte Firewalls.
  • Dateiintegritätsmanagement
  • Host-Intrusion-Detection
  • Schwachstellenmanagement
  • Syniti unterhält ein System zur Protokollierung und Speicherung der Ereignisse von allen Endpunkten, um die Verantwortlichkeit weiter zu verbessern.

Wie verfolgen und reagieren Sie auf Sicherheitsvorfälle?

• Syniti Cloud Operations betreibt ein rund um die Uhr besetztes NOC, das auf einer SIEM-Lösung basiert, um Sicherheitsereignisse zu aggregieren und zu korrelieren sowie umsetzbare Sicherheitsvorfälle zu identifizieren.
• Syniti unterhält einen integrierten Incident Response Plan und einen dedizierten SIRP (Security Incident Response Plan), der IRPs/Anwendungsfälle abdeckt und somit bei der Bewältigung von Sicherheitsvorfällen hilft.

Werden Kundendaten gesichert?

• Alle Kundendaten werden täglich gesichert.

Wie werden Speicherung und Rotation von Passwörtern verwaltet?

• Die Speicherung und Rotation aller kundenbezogenen Passwörter erfolgt über unsere PAM-Lösung, die über eine sichere Wallet-Funktion verfügt und die Fernverbindung zu autorisiertem Personal ermöglicht, ohne die Zugangsdaten im Klartext preiszugeben.
• Die Passwortrotation ist aktiviert, wodurch sichergestellt wird, dass Passwörter automatisch alle 90 Tage geändert werden.

Wie hält sich Syniti über die neuesten Bedrohungen und Sicherheitslücken auf dem Laufenden?

• Wir nutzen eine Schwachstellenmanagementlösung eines marktführenden Anbieters und überprüfen regelmäßig alle neuen und bestehenden Schwachstellen.
• Wir haben ein Schwachstellenmanagementprogramm eingerichtet, um alle entdeckten Schwachstellen zu beheben.
• Darüber hinaus nutzt unser SOC-Dienstleister ein Programm zur Bedrohungsanalyse, um ein Höchstmaß an Sorgfalt zu gewährleisten.

Wie gewährleistet Syniti die Vertraulichkeit, Integrität und Verfügbarkeit (CIA) von Kundendaten?

• Wir verschlüsseln den gesamten ein- und ausgehenden Datenverkehr unserer Kunden mit den empfohlenen Verschlüsselungsprotokollen.
• Wir verfügen über eine FIM-Funktionalität (File Integrity Monitoring), um unautorisierte Änderungen an den Produktionsdaten zu erkennen.
• Syniti betreibt eine netzwerkbasierte Plattform zur Verhinderung von Datenverlust.
• Wir haben außerdem ein Cloud- und Container-Sicherheitsüberwachungstool im Einsatz, das uns über unseren aktuellen Sicherheitsstatus auf dem Laufenden hält.
• Unser Cloud-Service-Provider (CSP) ist Marktführer und bietet uns mit seinen Rechenzentren der Stufe T4 eine Redundanz von 2n+1.

Application Security

Verschlüsselt Syniti meine Daten?

• Ja. Sowohl während der Übertragung, wobei HTTPS erzwungen wird, als auch im Ruhezustand in der Datenbank mittels AES256-Verschlüsselung. Wir unterstützen außerdem die transparente Datenverschlüsselung (TDE) von SQL Server.

Überprüfen Sie Ihre Anwendungen auf Sicherheitslücken?

• Während unseres gesamten Softwareentwicklungslebenszyklus (SDLC) scannen wir den Code mithilfe unabhängiger statischer und dynamischer Scanning-Tools von Drittanbietern auf Sicherheitslücken, und alle signifikanten Probleme werden vor der Veröffentlichung behoben.

Unterstützt Ihre Anwendung die Multi-Faktor-Authentifizierung?

• Wir unterstützen Single Sign-On (SSO), wobei die Anwendung die Benutzerauthentifizierung an den Identitätsanbieter des Kunden delegiert. Dadurch kontrolliert der Kunde direkt, wer Zugriff auf die Syniti-Anwendung hat, und zwar anhand seiner festgelegten Richtlinien und Verfahren zur Benutzerauthentifizierung.

Nutzen Sie Industriestandards (z. B. OWASP Software Assurance Maturity Model, ISO 27034), um Sicherheit in Ihren System-/Softwareentwicklungslebenszyklus (SDLC) einzubauen?

• Syniti verfolgt einen Ansatz in den Bereichen Datenschutz und Informationssicherheit sowie im Softwareentwicklungszyklus (SDLC). Dieser Prozess orientiert sich an den Sicherheitsstandards ISO 27001 und 27002 der Internationalen Organisation für Normung (ISO) und der Special Publications 800 Series des National Institute of Standards and Technology (NIST). Das sichere SDLC-Programm von Syniti folgt den Richtlinien des OWASP-Frameworks.

Wie lautet die Verfügbarkeitsgarantie (SLA) für Ihre SaaS-Produkte?

• Wir garantieren eine Verfügbarkeit von 99.5 %.

Wie häufig veröffentlichen Sie Software-Updates?

• Unsere SaaS-Produkte folgen einem CI/CD-Modell, bei dem Änderungen in die Produktionsumgebung übernommen werden, sobald sie alle SDLC-Prüfpunkte bestanden haben.
• Unsere On-Premise-Software wird in folgender Frequenz veröffentlicht:
  • Servicepakete – alle 4-6 Wochen
  • Kleinere Versionen – jedes Kalenderquartal
  • Hauptversionen alle 1-2 Jahre