Technische und organisatorische Massnahmen

1. Präambel

Das Informationssicherheitsprogramm von Frontify wurde in Übereinstimmung mit Best-Practice-Branchenstandards wie ISO 27001 entwickelt. Die Sicherheitskontrollen von Frontify sind auf die Gegebenheiten eines Cloud-basierten Software-as-a-Service (SaaS)-Anbieters ausgerichtet. Die folgenden Ausführungen beziehen sich auf die Software von Frontify und die Erbringung der dazugehörigen Dienste (im Folgenden "Frontify-Dienste") und sind in diesem Zusammenhang wichtig für das Verständnis der Sicherheitsmassnahmen von Frontify.

Frontify hat geeignete technische und organisatorische Massnahmen (im Folgenden "TOMs") ergriffen, um ein Sicherheitsniveau zu gewährleisten, das dem Risiko der Verarbeitungstätigkeiten, die zur Bereitstellung der Frontify-Dienste durchgeführt werden, angemessen ist. Die TOMs berücksichtigen den Stand der Technik, die Implementierungskosten und die Art, den Umfangs, die Umstände und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere der Risikos für die Rechte und Freiheiten natürlicher Personen.

Die TOMs unterliegen regelmässigen Verbesserungen und Weiterentwicklungen; daher kann Frontify dieses Dokument von Zeit zu Zeit überprüfen und aktualisieren. In dieser Hinsicht ist Frontify berechtigt, angemessene alternative Massnahmen zu ergreifen, die das Gesamtsicherheitsniveau der hierin beschriebenen Massnahmen nicht wesentlich verringern dürfen.

Da Frontify die Dienste eines externen Hosting-Partners sowohl für das Hosting als auch für die Verarbeitung von Daten in Anspruch nimmt, werden einzelne Massnahmen ausschliesslich im Rechenzentrum dieses Hosting-Partners durchgeführt. Dementsprechend werden die TOMs, die nur den Hosting-Partner betreffen, in diesem Dokument mit dem Zusatz ("Hosting-Partner") gekennzeichnet.

2. Überprüfungen und Zertifizierungen

Frontify stellt sicher, dass eine jährliche Überprüfung des implementierten Informationssicherheitsprogramms durch einen externen Prüfer durchgeführt wird, und stellt seinen Kunden auf Anfrage Nachweise der Einhaltung der Standards zur Verfügung, indem es Zertifikate (z. B. ISO 27001-Zertifizierung, Cyber Essentials-Zertifizierung) und Auszüge der Ergebnisse von Überprüfungen zur Verfügung stellt, unter der Bedingung, dass der Kunde zur Geheimhaltung verpflichtet ist.

3. Sicheres Cloud-Hosting

Die Frontify Dienste werden über die sichere Serverinfrastruktur unseres Cloud Hosting Partners AWS erbracht.

Weitere Informationen über die von AWS implementierten Sicherheitsstandards und finden Sie unter:

• https://aws.amazon.com/security/
• https://aws.amazon.com/compliance/programs/
• https://aws.amazon.com/compliance/data-center/controls/

4. Informationssicherheitsrichtlinie

Frontify hat eine Informationssicherheitsrichtlinie implementiert, welche alle relevanten Aspekte seines Sicherheitsprogramms regelt und mit Best-Practice-Branchenstandards wie den Anforderungen der ISO 27001 übereinstimmt. Die Informationssicherheitsrichtlinien von Frontify kann dem Kunden auf Anfrage zur Verfügung gestellt werden, unter der Bedingung, dass der Kunde zur Geheimhaltung verpflichtet ist. Weitere Informationen über die Sicherheitsmassnahmen von Frontify können unter https://www.frontify.com/en/security/ abgerufen werden.

5. Anonymisierung und Pseudonymisierung

Bei der Anonymisierung personenbezogener Daten werden persönliche Identifikatoren entfernt, Daten aggregiert oder so verarbeitet, dass sie nicht mehr mit einer einzelnen Person in Verbindung gebracht werden können. Bei der Pseudonymisierung wird der direkte Bezug zu einer einzelnen Person bei der Verarbeitung derart reduziert, dass erst durch die Aufnahme von Zusatzinformationen eine Zuordnung zu dieser Person möglich ist.

Soweit es technisch möglich und mit der Erbringung der Frontify Dienste vereinbar ist, anonymisiert Frontify die personenbezogenen Daten. Wenn eine Anonymisierung nicht möglich ist, greift Frontify auf die Pseudonymisierung von personenbezogenen Daten zurück. Um die Frontify-Dienste zu erbringen, ist eine Anonymisierung oder Pseudonymisierung personenbezogener Daten jedoch nicht in jedem Fall möglich und würde dem Zweck der Frontify-Dienste zuwiderlaufen.

6. Verschlüsselung

Verschlüsselung ist eine Massnahme oder ein Prozess, der es ermöglicht, Informationen mit Hilfe eines Verschlüsselungsverfahrens (Kryptosystem) in eine unlesbare (d. h. nicht leicht interpretierbare) Zeichenfolge (Chiffretext) umzuwandeln.

6.1 Verschlüsselung während der Übertragung (Daten im Transit)

Die Frontify-Dienste sind nur auf Seiten mit HTTPS verfügbar, und HSTS-Header werden für alle Subdomains erstellt. Frontify nutzt Transport Layer Security (TLS) 1.2 (oder besser) für Daten, die über ein beliebiges Netzwerk übertragen werden. Frontify unterstützt die vollständige Verschlüsselung von Daten während der Übertragung. Keine nicht verschlüsselten Daten verlassen das Rechenzentrum. Alle Überwachungs- und Backend-Systeme senden entweder lokalen Datenverkehr über die VPC (Virtual Private Cloud) oder verwenden Verschlüsselung auf Transportebene, wenn sie mit dem Rest des Internets kommunizieren.

6.2 Verschlüsselung von ruhenden Daten (Daten im Ruhezustand)

Die Kundendaten werden in verschlüsselter Form in S3-Buckets gespeichert und logisch getrennt. Frontify verschlüsselt die Daten im Ruhezustand mit dem Advanced Encryption Standard (AES) 256-bit (oder besser).

7. Geheimhaltung

Frontify ergreift wirksame Massnahmen, um die Geheimhaltung der Daten zu gewährleisten und eine unbefugte Offenlegung von oder einen unbefugten Zugriff auf übermittelte, gespeicherte oder anderweitig verarbeitete Daten zu verhindern. Zu diesen Massnahmen gehören die physische Zugangskontrolle, die Einlasskontrolle, die Zugangskontrolle und die Trennungskontrolle.

7.1 Physische Zugangskontrolle

Massnahmen, die sicherstellen, dass Unbefugten der Zutritt zur Datenverarbeitungsinfrastruktur verwehrt wird.

Beschreibung des physischen Zugangskontrolle:

• kontrollierte Schlüsselverwaltung
• Türsicherung (elektronischer Türöffner)
• Überwachungssystem (Alarmanlage)
• Kontrollsystem für Besucher
• Hosting-Partner: Objektschutz, Zutritts- und Sicherheitspersonal
• Hosting-Partner: Schutz des Serverraums

7.2 Einlasskontrolle

Massnahmen, die sicherstellen, dass Unbefugte nicht auf die Daten zugreifen können.

Beschreibung der Einlasskontrolle:

• Passwortpolitik, d.h. persönliche und individuelle Benutzeranmeldung beim Zugriff auf das System (u.a. Sonderzeichen, Mindestlänge)
• Automatische Sperre (z. B. Passwort, Pausenmodus)
• Erstellung eines Benutzerstammsatzes pro Benutzer
• Begrenzung der Zahl der zugelassenen Mitarbeiter
• Verschlüsselung der Datenspeicherung
• Zugriffslisten
• Isolierung sensibler Systeme durch getrennte Netzbereiche
• Authentifizierungsverfahren (VPN, Zertifikate, Multi-Faktor-Authentifizierung)
• Protokollierung der Anmeldeversuche und Unterbrechung des Anmeldevorgangs nach einer bestimmten Anzahl erfolgloser Versuche

7.3 Zugangskontrolle

Massnahmen, die sicherstellen, dass die zum Zugriff auf eine Datenverarbeitungsinfrastruktur Berechtigten nur auf die Daten zugreifen können, die ihrer Zugriffsberechtigung unterliegen. Damit wird sichergestellt, dass Daten während der Verarbeitung und Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.

Beschreibung des Zugangskontrolle:

• Konzept, das auf dem Prinzip der geringsten Rechte (Least Privilege Principle) beruht
• Berechtigungskonzepte (differenzierte Berechtigungen in Profilen, Rollen, etc.)
• Verschlüsselung von verschiedenen Datenspeichern
• Protokollierung von Zugriffen und Missbrauchsversuchen

7.4 Trennungskontrolle

Massnahmen, die sicherstellen, dass Daten, die für unterschiedliche Zwecke erhoben werden, getrennt von anderen Daten und Systemen verarbeitet und aufbewahrt werden, um eine ungeplante Nutzung dieser Daten für andere Zwecke auszuschliessen.

Beschreibung der Trennungskontrolle:

• Berechtigungskonzepte (differenzierte Berechtigungen in Profilen, Rollen, etc.)
• Verschlüsselte Speicherung von Daten
• Multi-Tenant-Umgebung mit logischer Kundentrennung
• Trennung von Test- und Produktivsystemen

8. Integrität

Massnahmen zur Wahrung der Integrität der Daten, um zu verhindern, dass Daten unbemerkt, unerlaubt oder ungewollt verändert werden. Zu diesen Massnahmen gehören Datenintegritätskontrolle, Übertragungskontrolle, Transportkontrolle und Eingabekontrolle.

8.1 Datenintegritätskontrolle

Massnahmen, die sicherstellen, dass Daten nicht durch Fehlfunktionen des Systems beschädigt oder geändert werden.

Beschreibung der Datenintegritätskontrolle:

• Implementierung von neuen Versionen und Patches mit einem Release/Patch-Management
• Betriebstest während der Implementierung und Releases/Patches durch die IT-Abteilung
• Protokollierung
• Transportprozesse mit individueller Verantwortung

8.2 Übertragungskontrolle

Massnahmen, die sicherstellen, dass überprüft und festgestellt werden kann, wohin Daten mit Hilfe von Datenübertragungseinrichtungen übermittelt wurden oder werden können.

Beschreibung der Übertragungskontrolle:

• Protokollierung
• Transportprozesse mit individueller Verantwortung
• Hashing

8.3 Transportkontrolle

Massnahmen, die sicherstellen, dass die Geheimhaltung und Integrität der Daten bei der Übermittlung von Daten und beim Transport von Datenträgern geschützt ist.

Beschreibung der Transportkontrolle:

• Übertragung von Daten über verschlüsselte Datennetze oder Tunnelverbindungen (VPN)
• Transportprozesse mit individueller Verantwortung
• Verschlüsselungsverfahren, die Datenänderungen während des Transports erkennen
• Umfassende Protokollierungsverfahren

8.4 Eingabekontrolle

Massnahmen, die es ermöglichen, zu überprüfen und festzustellen, ob und von wem die Daten in der Datenverarbeitungsinfrastruktur eingegeben, geändert oder entfernt wurden.

Beschreibung der Eingabekontrolle:

• Protokollierung aller Systemaktivitäten und Aufbewahrung dieser Protokolle für mindestens ein Jahr
• Protokollanalysesysteme
• Hashing
• Digitale Signaturen

9. Erkennung und Verwaltung von Schwachstellen

Frontify nutzt Tools zur Erkennung von Sicherheitsrisiken, damit verdächtige Aktivitäten, potenzielle Schadprogramme, Viren und/oder bösartige Computercodes erkannt werden und Frontify darüber informiert wird.

Frontify scannt standardmässig alle Dateitypen auf Schadprogramme und setzt Massnahmen zur Eingabevalidierung ein, um die Ausführung von Programmen in Dateien zu verhindern, die vom Benutzer hochgeladen wurden und Schadprogramme enthalten. Darüber hinaus ermöglicht Frontify seinen Kunden, bestimmte Dateitypen zu einer Sperrliste hinzuzufügen.

Frontify hat ein Bug Bounty Programm eingeführt, um eine kontinuierliche Erkennung von Schwachstellen über das ganze Jahr hinweg zu gewährleisten.

Schwachstellen, die definierte Risikokriterien erfüllen, lösen automatische Sicherheitsmeldungen aus und werden entsprechend ihres Sicherheitsrisikos und ihrer Auswirkungen auf die Frontify-Dienste zur Behebung priorisiert.

10. Datenneutralität

Frontify überprüft die von den Kunden an die Frontify-Dienste gesendeten Daten nicht und verarbeitet alle Daten unabhängig von ihrer Art, sofern sie die vordefinierten Merkmale für die Verarbeitung erfüllen. Frontify trifft keine datenbasierten Entscheidungen, sondern führt nur die Anweisungen der Kunden aus, wenn diese die Inhalte in die Frontify-Dienste hochladen, um die gewünschten Resultate zu erzielen.

11. Administrative Massnahmen

Frontify überprüft im Rahmen seines Einstellungsverfahrens den strafrechtlichen Hintergrund seiner Angestellten, soweit dies in Anbetracht der Rolle des Angestellten angemessen und nach geltendem Recht zulässig ist.

Frontify führt regelmässig Schulungen zum Thema Datenschutz und Sicherheit durch und alle Angestellten müssen ein Onboarding-Programm absolvieren.

Die Angestellten von Frontify sind entweder durch ihren jeweiligen Arbeitsvertrag oder durch eine gesonderte Geheimhaltungsvereinbarung zur Geheimhaltung verpflichtet.

Die Angestellten von Frontify sind entweder durch ihren jeweiligen Arbeitsvertrag oder durch eine gesonderte Einwilligungserklärung zur Einhaltung der Informationssicherheitsrichtlinien verpflichtet.

12. Verfügbarkeit und Belastbarkeit

Massnahmen zur Sicherstellung der Verfügbarkeit und Belastbarkeit von Datenverarbeitungsanlagen, um zu gewährleisten, dass hohe Belastungen oder starke Dauerbelastungen bewältigt werden können und dass der Zugriff auf die Daten bei einem physischen oder technischen Zwischenfall zeitnah wiederhergestellt wird. Zu diesen Massnahmen gehören die Verfügbarkeitskontrolle, die zeitnahe Wiederherstellung der Verfügbarkeit und die Zuverlässigkeit.

12.1 Verfügbarkeitskontrolle

Massnahmen, die sicherstellen, dass die Daten vor versehentlicher Zerstörung oder Verlust geschützt sind.

Beschreibung der Verfügbarkeitskontrolle:

• Hosting-Partner: Verfahren zur Datensicherung
• Hosting-Partner: Unterbrechungsfreie Stromversorgung
• Hosting-Partner: Brandmeldeanlage
• Hosting-Partner: Klimatisierung
• Hosting-Partner: Alarmanlage
• Hosting-Partner: Notfallpläne
• Hosting-Partner: Keine wasserführenden Leitungen über oder neben den Serverräumen

12.2 Zeitnahe Wiederherstellung der Verfügbarkeit

Massnahmen, die sicherstellen, dass die Verfügbarkeit von und der Zugang zu den Daten im Falle eines physischen oder technischen Zwischenfalls zeitnah wiederhergestellt wird.

Beschreibung der zeitnahen Wiederherstellung der Verfügbarkeit:

• Datensicherungsverfahren
• Regelmässige Tests der Datenwiederherstellung
• Katastrophen- und Notfallpläne
• Off-Site-Backup
• Hosting-Partner: Verfügbarkeitszonen

12.3 Zuverlässigkeit

Measures to ensure that all functions of the system are available and that any Massnahmen, die sicherstellen, dass alle Funktionen des Systems verfügbar sind und dass etwaige Störungen gemeldet werden.

Beschreibung der Zuverlässigkeit:

• Automatische Überwachung mit E-Mail-Benachrichtigung
• Katastrophen- und Notfallpläne mit Zuständigkeiten
• Regelmässige Tests der Datenwiederherstellung

13. Meldung von Sicherheitsvorfällen

Wenn Frontify von einem Sicherheitsvorfall Kenntnis erlangt, der zur versehentlichen oder unrechtmässigen Zerstörung, Verlust, Änderung, Offenlegung oder Zugriff der personenbezogenen Daten des Kunden führt, benachrichtigt Frontify die betroffenen Kunden unverzüglich in Übereinstimmung mit seinen vertraglichen Verpflichtungen und den Anforderungen der anwendbaren Datenschutzgesetze. Zudem ergreift Frontify unverzüglich angemessene Massnahmen, um den Sicherheitsvorfall einzudämmen, zu untersuchen und zu beheben.

14. Regelmässige Überprüfung, Bewertung und Evaluierung

Frontify hat ein Verfahren implementiert, um die Wirksamkeit der technischen und organisatorischen Massnahmen zur Gewährleistung der Sicherheit der Verarbeitung regelmässig zu prüfen, zu bewerten und zu evaluieren. Dazu gehören ein Bewertungsverfahren und eine Vertragskontrolle.

14.1 Bewertungsverfahren

Massnahmen, die gewährleisten, dass die Daten sicher und im Einklang mit den Datenschutzbestimmungen verarbeitet werden.

Beschreibung des Bewertungsverfahrens:

• Datenschutzmanagement
• Formalisierte Verfahren für Datenschutzvorfälle
• Dokumentation der Anweisungen der Kunden
• Formalisierte Auftragsverwaltung
• Service Level Agreements

14.2 Vertragskontrolle

Massnahmen, die sicherstellen, dass die Daten gemäss den Anweisungen des Kunden verarbeitet werden.

Beschreibung der Vertragskontrolle:

• Klare Vertragsformulierung
• Dokumentation der Anweisungen der Kunden
• Formalisierte Auftragsverwaltung