IT-Sicherheit und Compliance

Unser Compliance-Stack bei ResGuard

Unser Engagement für Datenschutz und Sicherheit ist in jedem Bereich unseres Unternehmens verankert.
Nutzen Sie dieses Trust Center, um mehr über unsere Sicherheitsmaßnahmen zu erfahren und unsere Sicherheitsdokumentation einzusehen.

Plattform- und Netzwerksicherheit

Die Grundlage der Sicherheit bei ResGuard ist die Infrastruktursicherheit. ResGuard setzt auf unsere Virtual Private Cloud (VPC), um unsere internen Netzwerke logisch zu isolieren. Wir pflegen konfigurierte Sicherheitsgruppen, um den Netzwerkzugriff durch definierte ein- und ausgehende Regeln zu kontrollieren und einzuschränken.

Verfügbarkeit

Wir entwickeln hochverfügbare Produkte, die verschiedene Überwachungs- und Observability-Anforderungen unserer Kunden durch die Skalierbarkeit unseres CSP erfüllen. Wir halten unsere Service Level Agreements (SLAs) mit einer Verfügbarkeit von 99,7 % ein. Weitere Informationen zu unserem SLA finden Sie in unserem Master Services Agreement.

Personelle Sicherheit

Bei ResGuard ermutigen wir alle Mitarbeitenden, sich am Schutz von Kundendaten und Unternehmensressourcen zu beteiligen. Soweit gesetzlich zulässig, führt ResGuard vor dem Eintritt in die Organisation Hintergrundüberprüfungen durch. Alle Mitarbeitenden von ResGuard absolvieren regelmäßig Schulungen zu Sicherheits- und Datenschutzbewusstsein, die Sicherheit in technische und nicht-technische Rollen integrieren. Unsere Schulungsmaterialien sind rollenspezifisch, um sicherzustellen, dass die Mitarbeitenden die Werkzeuge haben, um die spezifischen sicherheitsrelevanten Herausforderungen ihrer Arbeit zu bewältigen.

Produktsicherheit

Produktsicherheit hat bei ResGuard höchste Priorität. Wir integrieren Sicherheit von Anfang an in das Design unserer Produkte im Software Development Lifecycle. Wir entwickeln Produkte nach allgemeinen Agile-Methoden und integrieren Sicherheit über den gesamten Agile Release Cycle. Dies ermöglicht es uns, Schwachstellen früher zu entdecken und schneller zu beheben, als dies bei längeren Release-Zyklen möglich wäre. Klar definierte Change-Management-Richtlinien und -Verfahren bestimmen, wann und wie Änderungen vorgenommen werden. Diese Philosophie ist zentral für DevOps-Sicherheit und die Entwicklungsmethoden, die die Einführung von ResGuard vorangetrieben haben.

Patch-Management

ResGuard veröffentlicht Software-Patches als Teil unseres kontinuierlichen Integrationsprozesses. Wir sind bestrebt, Patches, die Endnutzer betreffen können, so schnell wie möglich und innerhalb unserer festgelegten Service Level Agreements (SLA) bereitzustellen, indem wir Endnutzer-Benachrichtigungen versenden und Wartungsfenster planen.

Physische Sicherheit

Als SaaS-Anbieter wird die Produktionsinfrastruktur von ResGuard in Cloud-Service-Provider-Umgebungen (CSP) gehostet. Diese CSPs verwalten die physischen und umgebungsbezogenen Sicherheitskontrollen für die Produktionsserver von ResGuard, einschließlich Gebäude, Schlösser und Türschlüssel.

Zu den physischen Sicherheitsmaßnahmen in den ResGuard-Büros gehören die strikte Durchsetzung des Badge-Zugangs zum Betreten des Gebäudes sowie zum Zugang zu ResGuard-Etagen und gesicherten Arbeitsbereichen. Alle Besucher müssen sich ausweisen, um ein Besucherabzeichen zu erhalten, und werden jederzeit von einem ResGuard-Mitarbeitenden begleitet.

Zugriffsmanagement

ResGuard gewährt den Zugriff auf Ressourcen und vertrauliche Informationen nach dem Need-to-know-Prinzip basierend auf der Rolle. Der Zugriff wird nach dem Prinzip der geringsten Rechte gesteuert, d. h. Benutzer haben nur die Zugriffsebene, die zur Erfüllung ihrer Aufgaben erforderlich ist. Darüber hinaus setzen wir Multi-Faktor-Authentifizierung durch, die starke Passwörter und einen zweiten Faktor umfasst. Dritte von ResGuard haben keinen direkten Zugriff auf Produktionssysteme.

Wir überwachen und protokollieren den Zugriff auf alle Produktionsumgebungen zu Sicherheitszwecken. Darüber hinaus wird der Zugriff auditiert und als Baseline erfasst, um unsere Sicherheits- und Compliance-Anforderungen zu erfüllen.

Schutz von Kundendaten

Daten, die von autorisierten Benutzern an den ResGuard-Dienst übermittelt werden, gelten als vertraulich. Diese Daten werden bei der Übertragung über öffentliche Netzwerke geschützt und im Ruhezustand verschlüsselt. Kundendaten dürfen die ResGuard-Produktionsumgebung nur in begrenzten Fällen verlassen, beispielsweise zur Unterstützung einer Kundenanfrage.

Alle zwischen ResGuard und unseren Nutzern übertragenen Daten werden durch Transport Layer Security (TLS) und HTTP Strict Transport Security (HSTS) geschützt. Wird die verschlüsselte Kommunikation unterbrochen, ist die ResGuard-Anwendung nicht erreichbar.

ResGuard hat Kontrollen implementiert, um die Integrität und Vertraulichkeit administrativer Anmeldedaten und Zugriffsmechanismen sicherzustellen, und wir setzen Festplattenverschlüsselung und eindeutige Anmeldedaten für Arbeitsplatzrechner durch.

Monitoring

ResGuard überwacht kritische Infrastrukturen auf sicherheitsrelevante Ereignisse mittels einer eigenen Implementierung von Open-Source- und kommerziellen Technologien. Aktivitätsdaten wie API-Aufrufe und Betriebssystem-Aufrufe werden zentral protokolliert, wo die Informationen eine Reihe benutzerdefinierter Regeln durchlaufen, die zur Erkennung bösartigen oder nicht autorisierten Verhaltens entwickelt wurden. Die Ergebnisse dieser Regeln werden in eine Orchestrierungsplattform eingespeist, die automatisierte Aktionen auslöst — darunter die direkte Benachrichtigung des Sicherheitsteams oder die Anforderung zusätzlicher Authentifizierung.

CSP-Hosting

AWS Cloud — ResGuard betreibt keine eigenen On-Premise-Rechenzentren.

Audit-Protokollierung

ResGuard verfügt über einen umfangreichen Produkt-Protokollierungsmechanismus einschließlich einer für Kunden zugänglichen Audit-Log-Konsole. Darüber hinaus ist die Audit-Protokollierung für alle Kundensupport-, Webendnutzer- und technischen Betriebsanwendungen sowie Staging- und Produktionsmanagement-Infrastruktur aktiviert.

Multi-Faktor-Authentifizierung

Ein zentraler Identitätsanbieter und Multi-Faktor-Authentifizierung sind für alle Kundensupport-, Webendnutzer- und technischen Betriebsanwendungen sowie Staging- und Produktionsmanagement-Infrastruktur aktiviert. ResGuard-Benutzer sind verpflichtet, beim Zugriff auf die Produktionsumgebung Multi-Faktor-Authentifizierung zu verwenden.

Rollenbasierte Zugriffskontrolle

Formale rollenbasierte Zugriffskontrollen beschränken den Zugang zu Systemen und Systemkomponenten und werden vom Zugriffskontrollsystem durchgesetzt. Wenn formale rollenbasierte Zugriffskontrollen nicht möglich sind, werden autorisierte Benutzer-IDs mit Zwei-Faktor-Authentifizierung verwendet. ResGuard folgt zudem dem Prinzip der geringsten Rechte.

Tägliche Backups

ResGuard unterhält ein zeitgleiches Backup, das jederzeit sofort wiederhergestellt werden kann, es sei denn, ein Katastrophenfall liegt vor. Backups erfolgen täglich, mit vollständigen inkrementellen Backups jede Woche. Wir verwenden keine Bänder. Wir archivieren Daten und sichern sie inkrementell, um sicherzustellen, dass die Daten nutzbar und jederzeit verfügbar sind.

Verschlüsselung im Ruhezustand

Ruhende Daten werden mit AES 256 verschlüsselt.

Verschlüsselung bei der Übertragung

Alle zwischen ResGuard und ResGuard-Nutzern übertragenen Daten werden durch Transport Layer Security (TLS) und HTTP Strict Transport Security (HSTS) geschützt. Wird die verschlüsselte Kommunikation unterbrochen, ist die ResGuard-Anwendung nicht erreichbar.

Code-Analyse

Im Rahmen unseres sicheren Entwicklungslebenszyklus finden Peer-Reviews, statische Analysen und dynamische Analysetests vor dem Einpflegen von Code in die Produktion statt.

Schwachstellen- & Patch-Management

ResGuard führt monatliche Scans von Servern und Netzwerken durch, und identifizierte Schwachstellen werden gemäß den Schwachstellen-Management-Verfahren von ResGuard verfolgt und behoben. ResGuard führt außerdem monatliche Schwachstellenscans kritischer Umgebungen sowie statische Code-Analysen durch, um die Sicherheit und Integrität der Umgebungen und Produkte von ResGuard zu gewährleisten. Alle identifizierten Schwachstellen werden einem Verantwortlichen zugewiesen und gemäß den Schwachstellen-Management-Verfahren von ResGuard behoben.

Passwortsicherheit

Für den Zugriff auf die Produktionsumgebung von ResGuard ist Multi-Faktor-Authentifizierung erforderlich. Wenn Multi-Faktor-Authentifizierung nicht möglich ist, befolgt ResGuard die folgenden Passwortstandards:

  • Mindestlänge von 8 Zeichen
  • Mindestens ein Kleinbuchstabe
  • Mindestens eine Zahl
  • Mindestens ein nicht-alphanumerisches Zeichen
Network Time Protocol

Systeme und Netzwerkgeräte nutzen einen gemeinsamen Zeitsynchronisierungsdienst. Die NTP-Prüfung ist im ResGuard-Agenten enthalten.

Separate Produktionsumgebung

ResGuard unterhält eine von der Produktionsumgebung getrennte Staging-Umgebung für Tests.

Endpoint-Sicherheit

Festplattenverschlüsselung: Alle Laptops von ResGuard-Mitarbeitenden verwenden Festplattenvollverschlüsselung.

Endpoint Detection & Response: Anti-Malware-Kontrollen schützen Arbeitsplatzrechner und Server. Die Engines dieser Anti-Malware-Tools werden kontinuierlich aktualisiert.

Netzwerksicherheit

Firewall: Die Firewall-Regeln von ResGuard sind standardmäßig auf Blockieren eingestellt.

SIEM: Alle sicherheitsrelevanten Logdaten werden in unser zentralisiertes SIEM-System aufgenommen, um verdächtige Aktivitäten auf allen technischen Ebenen zu analysieren und zu erkennen.

Incident Response

Bei ResGuard wird bei Erkennung eines Vorfalls ein Security-Incident-Ticket mit den Details des Ereignisses erstellt, einschließlich Datum und Uhrzeit des Vorfalls, Art des Vorfalls und Auswirkungen auf die Kunden. Die Erstellung des Tickets löst die Benachrichtigung der zuständigen Sicherheitsteam-Mitglieder aus. Diese leiten sofort eine Untersuchung ein, um den Umfang und die Auswirkungen der Situation zu bewerten und die für die Behebung notwendigen Maßnahmen zu bestimmen.

Penetrationstests

Es werden regelmäßig Penetrationstests durch Drittanbieter durchgeführt.

Security Operations Center

ResGuard verfügt über eine dedizierte 24x7-Incident-Response-Funktion mit Bereitschaftspersonal zur Behandlung kritischer Vorfälle und Serviceausfälle. Wenn festgestellt wird, dass der Vorfall sicherheitsrelevant ist, werden die zuständigen Sicherheitsteam-Mitglieder in die Reaktionsverfahren einbezogen.

Qualys SSL Labs
Standard-Support

Unser Standard-Support umfasst alle auftretenden Probleme, Störungen oder Anfragen bezüglich unserer RCM-Cloud-Lösung:

  • Anfrage: support(at)resguard-solutions.com
  • SLA: Erste Antwort innerhalb von 24 Stunden
Erweiterter Support

Support mit erweiterten SLA-Definitionen kann über individuelle Abonnementmodelle bereitgestellt werden. Bitte wenden Sie sich für weitere Details an Ihren Account Manager.

Wartungsfenster

Regelmäßige Patch-, Update- und Feature-Upgrade-Aktivitäten werden in unserem geplanten Wartungsfenster jeden ersten Sonntag im Monat zwischen 02:00 Uhr MEZ und 03:00 Uhr MEZ durchgeführt. Kunden werden über geplante Ausfallzeiten über die untenstehende Informationstabelle informiert.

RCM Platform

Compliance Modules for Every Requirement

Expert Services

Hands-On Support from Certified Professionals

Kontaktformular