Sicherheitsfragebogen

Ideanote setzt auf Ihr Vertrauen. Ohne Sie gibt es uns nicht. Innovation und der Austausch von Ideen können hochvertrauliche Informationen enthalten und sollten stets vor Schaden geschützt werden. Aus diesem Grund haben wir umfassende Sicherheits- und Kontrollprozesse eingerichtet, die dazu beitragen, die Sicherheit von Informationen zu gewährleisten. Ideanote ist stolz darauf, allen Sicherheit auf Enterprise-Niveau zu bieten.

Ihre Daten sind bei uns sicher, denn uns ist wichtig, dass Sie sich darauf verlassen können, während Sie mit Ideanote Ihre Innovationsgemeinschaft aufbauen. Im Folgenden beantworten wir einige der häufigsten Fragen, die uns von Kunden gestellt wurden, damit Sie sich schnell einen Überblick verschaffen und konkrete Antworten erhalten können.

Rechenzentrumsfunktionen

Wo werden Kundendaten gespeichert?

Ideanote speichert Kundendaten dauerhaft auf der Google Cloud Platform auf Servern in der EU, in Frankfurt und Dublin. Kundeninhalte (Ideen, Kommentare usw.) werden von keinem anderen Drittanbieter gespeichert. Darüber hinaus haben wir mit allen Unterauftragsverarbeitern von Kundendaten Auftragsverarbeitungszusätze (DPAs) unterzeichnet. Eine vollständige Liste unserer Unterauftragsverarbeiter finden Sie unter ideanote.io/terms#sub-processors.

Welche Sicherheitsfunktionen bieten die Rechenzentren von Ideanote?

Die Rechenzentren der Google Cloud Platform werden 24/7 von hochauflösenden Innen- und Außenkameras überwacht, die Eindringlinge erkennen und verfolgen können. Zugriffsprotokolle, Aktivitätsaufzeichnungen und Kameraaufnahmen stehen im Falle eines Vorfalls zur Verfügung. Der Zugang zur Rechenzentrumsfläche von Google ist ausschließlich über einen Sicherheitskorridor möglich, in dem eine mehrstufige Zugangskontrolle mit Sicherheitsausweisen und biometrischen Merkmalen eingesetzt wird.

Nur autorisierte Mitarbeiter mit bestimmten Rollen dürfen Zutritt erhalten. Darüber hinaus verfügen die Rechenzentren von Google über ein mehrschichtiges physisches Sicherheitsmodell, das Schutzmaßnahmen wie speziell entwickelte elektronische Zugangskarten, Alarme, Fahrzeugsperren, Perimeterzäune, Metalldetektoren und biometrische Verfahren umfasst. Im Rechenzentrumsbereich wird außerdem eine Laserstrahl-Einbruchserkennung eingesetzt. Google erfasst den Standort und Status sämtlicher Geräte in seinen Rechenzentren von der Beschaffung über die Installation bis hin zur Aussonderung und Vernichtung mithilfe von Barcodes und Anlagenkennzeichnungen genau. Metalldetektoren und Videoüberwachung werden eingesetzt, um sicherzustellen, dass keine Geräte den Rechenzentrumsbereich unbefugt verlassen.

Wenn eine Komponente zu irgendeinem Zeitpunkt während ihres Lebenszyklus einen Leistungstest nicht besteht, wird sie aus dem Bestand genommen und ausgemustert. Festplatten von Google nutzen Technologien wie FDE (Full-Disk-Verschlüsselung) und Laufwerkssperren, um gespeicherte Daten zu schützen. Wird eine Festplatte ausgemustert, überprüfen autorisierte Personen, ob der Datenträger gelöscht wurde, indem sie Nullen auf das Laufwerk schreiben und ein mehrstufiges Prüfverfahren durchführen, um sicherzustellen, dass sich keine Daten mehr darauf befinden. Kann das Laufwerk aus irgendeinem Grund nicht gelöscht werden, wird es sicher aufbewahrt, bis es physisch zerstört werden kann. Die physische Zerstörung von Datenträgern erfolgt in mehreren Stufen: Zunächst verformt ein Brecher das Laufwerk, anschließend zerkleinert ein Schredder es in kleine Stücke, die dann in einer gesicherten Anlage recycelt werden. Jedes Rechenzentrum hält sich an eine strenge Entsorgungsrichtlinie; Abweichungen werden umgehend behoben.

Ist Ideanote SOC2-konform?

Unser Rechenzentrumsanbieter ist selbstverständlich SOC2-konform. Sie können uns jederzeit kontaktieren, wenn Sie möchten, dass wir Ihnen den entsprechenden Compliance-Bericht zur Verfügung stellen. Um den Vorgang zu beschleunigen, bitten wir Sie, ausreichende Kontaktdaten sowie einen Grund für Ihre Anfrage anzugeben.

Wie werden Kundendaten gesichert?

Alle Kundendaten werden täglich vollständig in mehreren Rechenzentren innerhalb der EU, in Frankfurt und Dublin, gesichert.

Kann Ideanote Kundendaten auf Anfrage löschen?

Derzeit können Kundendaten auf schriftliche Anfrage des Kunden bei Ideanote gelöscht werden. Im Rahmen unserer Bemühungen um die Einhaltung der GDPR werden wir unsere Möglichkeiten zur Datenlöschung erweitern und diese in die Benutzeroberfläche integrieren.

Kann Ideanote die Rechenressourcen von Kundendaten bereinigen, wenn ein Kunde Ideanote verlässt?

Google ist unser Anbieter für das Produktivhosting. Die Festplatten von Google nutzen Technologien wie FDE (Full Disk Encryption, vollständige Festplattenverschlüsselung) und Laufwerkssperren, um ruhende Daten zu schützen. Wenn eine Festplatte außer Betrieb genommen wird, überprüfen befugte Personen, ob sie gelöscht wurde, indem sie Nullen auf das Laufwerk schreiben und einen mehrstufigen Verifizierungsprozess durchführen, um sicherzustellen, dass sich keine Daten mehr darauf befinden. Kann das Laufwerk aus irgendeinem Grund nicht gelöscht werden, wird es sicher verwahrt, bis es physisch zerstört werden kann. Die physische Zerstörung von Festplatten erfolgt in mehreren Schritten: Zunächst verformt ein Brecher das Laufwerk, anschließend zerkleinert ein Schredder es in kleine Teile, die danach in einer gesicherten Einrichtung recycelt werden. Jedes Rechenzentrum hält sich an eine strenge Richtlinie zur Entsorgung, und etwaige Abweichungen werden umgehend behoben.

Bewahrt Ideanote Kundeninformationen nach Vertragsende auf?

Ideanote ermöglicht es Kunden, ihre Rohdaten jederzeit im branchenüblichen JSON-Format zu exportieren, sofern der Kunde dies schriftlich beantragt. Darüber hinaus können Kundendaten auf Anfrage bei Vertragsende gelöscht werden oder werden gemäß den internen Aufbewahrungsrichtlinien von Ideanote gelöscht.

Datensicherheit und -verwaltung

Trennt Ideanote die Daten eines Kunden von denen anderer Kunden?

Alle sensiblen Kundendaten sind erst nach dem erfolgreichen Austausch eines Sitzungstokens von unserer API zugänglich. Dieses Token gewährt je nach mehreren Faktoren unterschiedliche Zugriffsrechte auf die Daten eines bestimmten Kunden, beispielsweise abhängig von den Einstellungen des Bereichs, dem Nutzer, der auf die Ressource zugreifen möchte, sowie dem Vorgang, der für diese Ressource ausgeführt werden soll. Dies gewährleistet eine logische Trennung zwischen Daten, die mehreren Kunden gehören. Kundendaten befinden sich auf Datenbanksystemen, auf denen Daten mehrerer Kunden gespeichert sind. Unsere logischen Authentifizierungs- und Autorisierungskontrollen trennen jedoch die Daten eines Kunden von den Daten anderer Kunden.

Unterstützt Ideanote Single Sign-on und Mehr-Faktor-Authentifizierung?

Unser Produkt unterstützt Single Sign-On (SSO). Wir unterstützen den SAML-Standard, einschließlich der Integration mit dem Active Directory (AD)-Protokoll. Sie können SSO selbst unter /space-settings/sso einrichten.

Verschlüsselung und Passwortverwaltung

Verschlüsselt Ideanote Kundendaten?

Wenn ein Nutzer eine Website oder Anwendung besucht, in die Ideanote integriert ist, werden die Details seiner Interaktionen erfasst und über HTTPS an Ideanote gesendet. Alle über HTTPS übertragenen Daten sind verschlüsselt. Ideanote erlaubt ausschließlich Verbindungen über HTTPS, um sicherzustellen, dass Daten während der Übertragung verschlüsselt sind. Ideanote verwendet NIST Suite B-konforme Verschlüsselungssammlungen, um Daten während der Übertragung und im Ruhezustand zu schützen.

Die Google Cloud Platform verschlüsselt standardmäßig Kundendaten, die im Ruhezustand gespeichert sind. Daten in der Google Cloud Platform werden für die Speicherung in Teil-Dateiblöcke aufgeteilt, und jeder Block wird auf Speicherebene mit einem individuellen Verschlüsselungsschlüssel verschlüsselt. Der Schlüssel, mit dem die Daten in einem Block verschlüsselt werden, wird als Datenverschlüsselungsschlüssel (DEK) bezeichnet. Aufgrund der großen Anzahl von Schlüsseln bei Google sowie der erforderlichen niedrigen Latenz und hohen Verfügbarkeit werden diese Schlüssel in der Nähe der Daten gespeichert, die sie verschlüsseln. Die DEKs werden mit einem Schlüsselverschlüsselungsschlüssel (KEK) verschlüsselt (oder von diesem „umhüllt“). Weitere Informationen finden Sie unter https://cloud.google.com/security/#dataencryption

Wie lauten die Verfahren von Ideanote für die Passwortverwaltung?

Schlüssel zur Verschlüsselung ruhender Kundendaten werden von unserem Cloud-Anbieter Google verwaltet. Weitere Informationen zu den Schlüsselverwaltungsverfahren von Google finden Sie hier:https://cloud.google.com/kms/. Wir verwenden öffentliche/private Schlüssel, um den Zugriff auf Code-Repositories zu sichern. Von Mitarbeitern verwendete Schlüssel werden von Ideanote-Mitarbeitern individuell generiert und auf lokalen Rechnern gespeichert). Der Zugriff auf die Repositories kann von leitenden Mitarbeitern der Entwicklungsabteilung eingerichtet oder entzogen werden.

Werden Kundenpasswörter verschlüsselt?

Ja. Passwörter werden mithilfe des branchenüblichen kryptografischen Blockverschlüsselungsalgorithmus Blowfish gehasht. Dabei handelt es sich um eine adaptive Hashfunktion, die auf einer als Key Stretching bezeichneten Technik basiert und von NIST empfohlen wird.

Welche Passwortanforderungen gelten für Unternehmen bei Ideanote?

Wir verwenden Google G-Suite als unternehmensweite Single-Sign-on-Plattform. Diese Anwendung steuert unseren Zugriff auf die verschiedenen Anwendungen, die Ideanote nutzt. Ideanote verwendet eine Multi-Faktor-Authentifizierung für den Systemzugriff. Die Passwortanforderungen sind insbesondere wie folgt festgelegt: (a) Passwörter müssen mindestens 8 Zeichen lang sein; (b) sie müssen Kleinbuchstaben enthalten und dürfen keinen Teil des Benutzernamens enthalten; und (c) Nutzer werden nach 10 fehlgeschlagenen Anmeldeversuchen gesperrt. Weitere Informationen zur Sicherheit von G-Suite als Identitätsanbieter finden Sie unter static.googleusercontent.com/media/gsuite.google.com/en/security/g-suite-security-ebook.pdf

HR- und Unternehmensrichtlinien

Führt Ideanote Hintergrundüberprüfungen seiner Mitarbeitenden durch?

Wir führen vor Arbeitsbeginn bei allen neuen Mitarbeitenden sowie bei Auftragnehmern, die in einem Ideanote-Büro tätig sein werden, Hintergrundüberprüfungen durch. Darüber hinaus unterzeichnen alle Mitarbeitenden Vertraulichkeitsvereinbarungen zum Schutz von Kundeninformationen.

Vergibt Ideanote Teile seiner Dienstleistungen an Subunternehmer?

Ideanote nutzt Drittanbieter zur Bereitstellung unserer Dienste, insbesondere die Google Cloud Platform zur dauerhaften Speicherung von Kundendaten. Darüber hinaus nutzt Ideanote Anbieter zur Überwachung der Leistung unserer Dienste und zu Kommunikationszwecken, nachdem diese überprüft wurden und die entsprechenden vertraglichen Schutzmaßnahmen für den Umgang mit Kundendaten unterzeichnet haben. Im Zusammenhang mit unserer GDPR-Konformität legen wir unsere vollständige Liste der Unterauftragsverarbeiter unter ideanote.io/term#sub-processors.

GDPR

Verarbeitet Ideanote personenbezogene Daten?

Kunden von Ideanote können anpassen und entscheiden, welche Informationen unter bestimmten Einschränkungen, die in unserer Vereinbarung mit einem Kunden festgelegt sind, an unsere Datenbank übermittelt werden. Dazu können personenbezogene Daten gehören. Ob tatsächlich personenbezogene Daten übermittelt werden, hängt letztlich jedoch vom Kunden und dessen Entscheidungen darüber ab, welche Daten zur Verarbeitung an Ideanote gesendet werden.

Ist Ideanote Verantwortlicher oder Auftragsverarbeiter?

Wenn Kunden Daten an die Ideanote-Plattform übermitteln, ist Ideanote für die Zwecke der erbrachten Dienstleistungen der Auftragsverarbeiter im Sinne der GDPR; der Kunde ist der Verantwortliche.

Ja. Weitere Informationen finden Sie im Ideanote-DPA unter ideanote.io/legal/dpa

Ja, wir haben mit allen unseren Unterauftragsverarbeitern schriftliche Vereinbarungen zur Auftragsverarbeitung („DPA“) abgeschlossen. Ideanote verpflichtet jeden Unterauftragsverarbeiter zur Einhaltung von Datenschutzbestimmungen hinsichtlich seiner Sicherheitskontrollen und der geltenden Vorschriften zum Schutz personenbezogener Daten. Vor der Beauftragung eines Unterauftragsverarbeiters führen wir eine umfassende Due-Diligence-Prüfung durch, einschließlich einer detaillierten Sicherheits- und Rechtsanalyse. Wir beauftragen keinen Unterauftragsverarbeiter, der unsere Qualitätsstandards nicht erfüllt.

Prüfung

Führt Ideanote regelmäßig Sicherheitsaudits durch?

Wir führen regelmäßig automatisierte Schwachstellenscans in unseren externen und internen Netzwerken durch. Darüber hinaus ist die Sicherheitsüberprüfung ein integraler Bestandteil unseres Entwicklungszyklus und in unsere Design-, Implementierungs- und Testprozesse eingebunden.

Protokolliert Ideanote Ereignisse mit einem Prüfpfad?

Der Zugriff auf den Prüfpfad ist auf unser Entwicklungsteam beschränkt; die Einträge sind jedoch unveränderlich. Die Prüfpfadeinträge werden mindestens 1 Jahr lang aufbewahrt. Ideanote protokolliert automatisch und umfassend die Aktivitäten seines Entwicklungsteams und aller Nutzer des Dienstes, sobald diese stattfinden, mithilfe der integrierten Audit-Logging-Überwachung von Google StackDriver. Alle Protokolle sind unveränderlich, zeitlich synchronisiert, filterbar und exportierbar. Wir arbeiten mit Kunden im Enterprise-Tarif zusammen, um Anfragen zu Prüfpfaden und angemessene Anfragen zum Export von Prüfpfaden zeitnah zu erfüllen.

Bedrohungs- und Schwachstellenmanagement

Verfügt Ideanote über installierte Anti-Malware-Programme?

Unsere Produktionsserver laufen unter Linux. Die Sicherheit gewährleisten wir, indem wir alle unsere Dienste in Containern isolieren, die bei jeder Bereitstellung vollständig erneuert werden. Dadurch wird verhindert, dass sich Malware dauerhaft festsetzen kann, und sichergestellt, dass es nur ein minimales Zeitfenster gibt, in dem Malware im Arbeitsspeicher verbleiben könnte. Unserer Ansicht nach ist dieser Ansatz robuster als ein detektivischer Ansatz zur Verhinderung einer Malware-Kompromittierung.

Wie funktioniert die Kontoverwaltung bei Ideanote?

Der Ideanote-Service bietet Konten mit 4 Sicherheitsstufen: Eigentümer, Administrator, Mitglied und Gast. Das Eigentümerkonto (eines pro Space) hat vollen Zugriff auf alle Space-Einstellungen und die Abrechnung. Administratoren haben vollen Zugriff, um Inhalte, Missionen und Teams zu erstellen und zu löschen sowie Personen einzuladen und Mitgliederrollen zu verwalten. Mitglieder und Gäste können Inhalte entsprechend den von Administratoren erteilten Zugriffsrechten erstellen.

Bleiben meine Daten privat?

Sobald Sie einen Ideanote-Arbeitsbereich beanspruchen, gehört er Ihnen allein. Der Zugriff auf den Datenspeicher ist auf wenige ausgewählte Personen beschränkt, um die Sicherheit zu erhöhen und das Risiko zu senken.

Wenn ein Kunde auf einen Fehler oder ein Problem stößt, bitten wir entweder um direkten Zugriff auf den betreffenden Space, verwenden eine Software zur Bildschirmfreigabe oder führen einfach Tests in einer Entwicklungsumgebung durch. Sie müssen keinen Zugriff gewähren, wenn Sie das nicht möchten. So einfach ist das. Die Daten werden in einer hochsicheren Umgebung gespeichert, auf die nur mit 2FA zugegriffen werden kann. Ideanote wird Ihre Daten niemals, aus welchem Grund oder unter welchen Umständen auch immer, an Dritte verkaufen.

Greifen Mitarbeiter von Ideanote auf Kundendaten oder -inhalte zu oder verwenden sie diese?

Ideanote besitzt, kontrolliert oder steuert nicht die Verwendung von Daten, die unsere Kunden bei der Nutzung unseres Dienstes speichern oder verarbeiten. Dies gilt auch für den Zugriff auf solche Daten, deren Abruf und deren direkte Verwendung. Im Allgemeinen wissen wir nicht, welche Daten innerhalb eines Arbeitsbereichs gespeichert oder anderweitig intern verfügbar gemacht werden.

Das Eigentum an den Inhalten verbleibt beim Kunden und seinen Nutzern. Wie in unseren Nutzungsbedingungen beschrieben, sind Ideanote und seine Mitarbeiter zu keinem Zeitpunkt berechtigt, Kundeninhalte anzusehen, es sei denn, der Kunde erteilt uns ausdrücklich seine Zustimmung zu gültigen Supportzwecken oder wir sind aufgrund eines Gesetzes oder einer gültigen rechtlichen oder behördlichen Aufforderung dazu verpflichtet. Zu keinem Zeitpunkt dürfen wir Kundeninhalte für eigene Zwecke verwenden.

Mitarbeiter von Ideanote, beispielsweise unser Supportpersonal, haben standardmäßig keinen Zugriff auf Kundenarbeitsbereiche. Der Zugriff auf Arbeitsbereiche wird Mitarbeitern nur aufgrund gültiger dringender Supportanfragen gewährt. Die Mitarbeiter werden im angemessenen Umgang mit Zugriffen geschult, und die Zugriffe werden überwacht, um eine unangemessene Nutzung zu verhindern.

Obwohl nicht auf Kundeninhalte zugegriffen wird, werden verallgemeinerte Kundendaten in Form von Ereignissen und Nutzungsstatistiken erfasst und zur allgemeinen Verbesserung der Nutzererfahrung sowie für Produktfeedback verwendet. Direktes Produktfeedback, das den Mitarbeitern des Kundensupports mitgeteilt wird, gilt nicht als Kundeninhalt und kann ebenfalls zur Verbesserung unserer Dienste verwendet werden.

Vorfallmanagement bei Ideanote

Im Falle einer Sicherheitsverletzung wird Ideanote Sie innerhalb von 72 Stunden, nachdem das Unternehmen erstmals davon Kenntnis erlangt hat, über jeden unbefugten Zugriff auf Ihre Kundendaten informieren. Auch wenn ein solcher Vorfall äußerst unwahrscheinlich ist, verfügen wir über umfassende Richtlinien und Verfahren für das Vorfallmanagement, um einen solchen Fall mit größter Sorgfalt und Effizienz zu behandeln. Im Rahmen der Einhaltung der DSGVO müssen wir einen solchen Vorfall außerdem der zuständigen lokalen Regierungsbehörde, der Dänischen Datenschutzbehörde, melden.

Wie lange werden Daten gespeichert?

Wir speichern sämtliche Daten bis zu 10 Jahre lang, sofern Ihr Konto nicht gelöscht wird. In diesem Fall löschen wir sämtliche Daten gemäß unseren Nutzungsbedingungen und unserer Datenschutzerklärung innerhalb von 60 Tagen. Informationen zu rechtlichen Transaktionen zwischen Kunden und Ideanote werden bis zu 10 Jahre lang gespeichert.