Daten-
sicherheit

1. Grundsätze

• Minimale Berechtigung: Jeder Zugriff beruht auf einer tatsächlichen Verantwortung und ist auf das Nötige beschränkt.
• Mehrstufige Verteidigung: Keine einzelne Massnahme gilt als ausreichend.
• Datenschutz durch Technik: Die Trennung der Bereiche und die Datenminimierung sind Teil der Produktgestaltung, gemäss Art. 7 DSG.
• Nachvollziehbarkeit: Wesentliche Handlungen werden protokolliert, damit sie rekonstruiert werden können.

Diese Seite beschreibt den Stand der Massnahmen am angegebenen Aktualisierungsdatum. Sie wird aktualisiert, wenn sich die Architektur ändert. Sie ist fester Bestandteil der Vereinbarung über die Auftragsbearbeitung: Jede Änderung, die das Schutzniveau spürbar senken würde, wird mit einer Frist von sechzig (60) Tagen nach den Bedingungen dieser Vereinbarung angekündigt. NETZERO SWISS AG beansprucht derzeit keine Zertifizierung eines Informationssicherheits-Managementsystems.

2. Infrastruktur

• Hosting auf einer dedizierten Infrastruktur von OVH SAS (OVHcloud) in Frankreich;
• ein Proxy-Server ist der einzige öffentliche Zugangspunkt; die Anwendung hört nur auf der lokalen Schnittstelle und ist nie direkt erreichbar;
• überwachte Anwendungsprozesse, automatischer Neustart und Überwachung der Verfügbarkeit der Dienste;
• getrennte Entwicklungs-, Test- und Produktionsumgebungen; Produktionsdaten werden in der Entwicklung nie ohne vorherige Anonymisierung verwendet;
• Sicherheitsupdates von System und Abhängigkeiten je nach Kritikalität eingespielt.

3. Verschlüsselung

• Verschlüsselung aller öffentlichen Verbindungen mit TLS, automatisch erneuerte Zertifikate und dauerhafte Umleitung unverschlüsselten Verkehrs;
• verschlüsselte Sicherungen im Ruhezustand;
• Anwendungsgeheimnisse ausserhalb des Code-Repositorys, in Umgebungsdateien mit beschränktem Zugriff;
• Passwörter nur als Hashwerte gespeichert, berechnet mit einer Ableitungsfunktion mit einstellbarem Aufwand.

4. Trennung

Die Plattform trennt die Bereiche auf vier Ebenen: Organisation, Standort und Tätigkeit, Rolle, Auftrag. Jede Organisation behält ihren Bereich, ihre Regeln und ihre Historie. Lese- wie Schreibanfragen werden nach dem Bereich des Benutzers gefiltert, unabhängig von der verwendeten Oberfläche, auch über die Programmierschnittstellen.

5. Zugriffsverwaltung

• persönliche Konten, das Teilen von Zugangsdaten ist verboten;
• Rechte nach Rolle vergeben, regelmässig überprüft und beim Austritt einer Mitarbeiterin oder eines Mitarbeiters oder bei einem Funktionswechsel unverzüglich entzogen;
• technische Administrationszugänge nur für eine kleine Zahl identifizierter Personen, mit verstärkter Authentifizierung geschützt und protokolliert;
• Zugriff des Supports auf Kundendaten nur, wenn für die Bearbeitung einer Anfrage nötig, und nachvollziehbar.

6. Protokollierung

Anmeldungen, Rechteänderungen, wesentliche Handlungen an Aufträgen und Nachweisen sowie Administrationsvorgänge werden mit Zeitstempel und Urheber protokolliert. Die Protokolle werden zwölf Monate aufbewahrt, sind gegen Veränderung geschützt und nur berechtigten Personen zugänglich.

7. Sicherungen

• tägliche verschlüsselte Sicherungen, jede fünfunddreissig (35) Tage ab Erstellung aufbewahrt;
• Speicherung auf einem von der Produktion getrennten Datenträger;
• Ziel für den maximal tolerierbaren Datenverlust: 24 Stunden;
• Ziel für die Wiederherstellung nach einem schweren Schadensfall: 8 Arbeitsstunden;
• regelmässige, dokumentierte Wiederherstellungstests.

8. Entwicklung und Betrieb

• Prüfung der Änderungen vor der Inbetriebnahme;
• automatisierte Prüfungen: Typisierung, statische Analyse, Regressionstests der kritischen Abläufe;
• Überwachung bekannter Schwachstellen der Abhängigkeiten und Aktualisierung je nach Kritikalität;
• umkehrbare Bereitstellungen mit dokumentiertem Rückfallverfahren;
• keine Geheimnisse im Code-Repository.

9. Umgang mit Vorfällen

Jedes verdächtige Ereignis wird qualifiziert, eingedämmt, auf seine Ursache analysiert und mit einem dokumentierten Behebungsplan behandelt. Vorfälle, die die Verfügbarkeit betreffen, werden den betroffenen Kunden mitgeteilt, mit regelmässigen Lageberichten bis zur Wiederherstellung.

Bei einer Verletzung der Datensicherheit informiert NETZERO SWISS AG den Kunden ohne unangemessene Verzögerung und liefert ihm die Angaben, die für die Meldung nach Art. 24 DSG oder Art. 33 DSGVO nötig sind, nach den auf der Seite Auftragsbearbeitung beschriebenen Modalitäten.

10. Meldung einer Schwachstelle

Verantwortungsvolle Meldungen sind willkommen. Senden Sie an info@netzeroswiss.ch eine Beschreibung der Schwachstelle, die Schritte zur Reproduktion und die geschätzte Auswirkung.

• Eingangsbestätigung innert drei (3) Arbeitstagen;
• Lagebericht innert fünfzehn (15) Arbeitstagen;
• koordinierte Veröffentlichung nach der Behebung, mit Nennung der meldenden Person, wenn sie dies wünscht.

NETZERO SWISS AG unternimmt keine Schritte gegen eine Person, die in gutem Glauben eine Schwachstelle meldet, sofern sie nicht über das für den Nachweis Nötige hinaus auf Daten Dritter zugegriffen, den Dienst beeinträchtigt oder die Lücke vor ihrer Behebung offengelegt hat. Zerstörende Tests, Denial-of-Service-Angriffe und Social Engineering sind von diesem Rahmen ausgeschlossen.

11. Aufteilung der Verantwortung