Sicherheit in Agillic
Einleitung
Datensicherheit ist unverzichtbar und Agillic unterzieht sich jährlich einer strengen unabhängigen Prüfung durch Deloitte gemäß dem internationalen Standard ISAE 3000 Typ 2. Diese Prüfung ist ein Beleg für unser Engagement bei der Umsetzung branchenführender Sicherheitspraktiken und der Gewährleistung der vollständigen Einhaltung der DSGVO und anderer gesetzlicher Anforderungen. Wir führen regelmäßig Risikobewertungen, Schwachstellen-Scans und Penetrationstests durch, um potenziellen Bedrohungen stets einen Schritt voraus zu sein. Bei Agillic können Sie darauf vertrauen, dass Ihre Daten in sicheren Händen sind.
Agillic ist eine Marketing-Automatisierungsplattform mit dem Fokus auf personalisierte Multi-Channel-Kommunikation, bei der kontakt- und kommunikationsrelevante Daten verarbeitet werden. Agillic folgt einer Service- (und Microservice-) Architektur und schafft damit ein robustes und skalierbares System. Um eine kosteneffiziente Leistung zu gewährleisten, nutzt Agillic mehrere Hosting-Anbieter.
Die Datenschutzgrundverordnung (DSGVO) über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum Datenverkehr (EU 2016/679) legt mehrere Regeln für den Umgang mit personenbezogenen Daten fest.
Die Einhaltung und Kontrolle dieser Regeln ist Teil des Informationssicherheits-Managementsystems von Agillic und basiert auf den entsprechenden Audits nach ISO 27001/2 sowie Anforderungen im Zusammenhang mit dem Auftragsverarbeitungsvertrag (AVV) zwischen Agillic und unseren Kunden. Das ISMS von Agillic wird jährlich nach dem ISAE 3000 Standard geprüft. All unsere Subunternehmer und potenzielle Dienstleister werden nach den Richtlinien unseres ISMS bewertet.
Die Einhaltung der DSGVO und der Informationssicherheit durch Agillic wird jährlich von Deloitte als unabhängigem Wirtschaftsprüfer überprüft und in einem ISAE 3000 Typ 2 Assurance Report dokumentiert, der den Kunden zur Verfügung steht.
Dieses Dokument ist eine Ergänzung zum Prüfungsbericht ISAE 3000 und bezieht sich auf die Sicherheitsarchitektur von Agillic. Es besteht aus fünf Elementen, die unten abgebildet sind:
Das fünfte Element, Richtlinien und Kontrollen, ist der Teil des ISMS, der sich auf die Sicherheit konzentriert. Jedes der fünf Elemente wird im Folgenden beschrieben.
1. Anwendungssicherheit
Die Anwendungssicherheit gewährleistet die Authentifizierung und Autorisierung des Zugangs zur Agillic-Plattform.
Authentifizierung
Der Benutzerzugriff erfordert eine Authentifizierung mit einem gültigen Benutzernamen und einem sicheren Passwort, das in Ihrer Passwortrichtlinie festgelegt ist. Wir unterstützen auch die Zwei-Faktor-Authentifizierung per SMS oder E-Mail. Die Anwendung läuft über eine sichere HTTPS-Verbindung.
Autorisierung
Die Agillic-Plattform stellt einen rollenbasierten Zugang durch Richtlinien bereit, die das Recht der Benutzer auf Zugang zu sensiblen Kundendaten einschränken und die Möglichkeit bieten, granulare Berechtigungen für verschiedene Teile der Anwendung zu erteilen. Unsere APIs haben vollen Datenzugriff.
Ist der Benutzer als Administrator autorisiert, hat er die Möglichkeit, unter Verwendung der Standard-Integrationsmethode des jeweiligen Anbieters eine Integration mit Facebook, Google Ads und Adform zu erstellen.
Benutzerprotokollierung
Alle Anwendungsaktivitäten (einschließlich Benutzerinteraktionen und API-Aufrufe) werden automatisch mit einem Zeitstempel protokolliert. Das Protokoll wird intern in Agillic für Nachforschungen und Produktverbesserungen verwendet.
2. Datensicherheit
Die Datensicherheit umfasst Regeln zur Datenspeicherung und Datenübertragung.
Datenbanksicherheit
Zugangsbeschränkungen
Sämtliche Kundendaten werden bei unseren Rechenzentrumspartnern gespeichert, die alle streng eingeschränkt sind, sodass nur Personal mit der entsprechenden Berechtigung darauf zugreifen kann. Um ein Höchstmaß an Sicherheit zu gewährleisten, betreibt Agillic die virtuellen Server und ist für deren Bereitstellung, Überwachung und Verwaltung verantwortlich.
Verschlüsselung
Sämtliche Kundendaten und Protokolldaten werden mit einer 128-Bit-AES-Verschlüsselung und einem kontenspezifischen Schlüssel verschlüsselt. Alle sensiblen Profildaten werden zur Wahrung der Vertraulichkeit sowohl bei der Speicherung als auch bei der Anzeige maskiert.
Übertragung
Agillic bietet Verschlüsselung für Daten während der Übertragung auf allen öffentlichen Kanälen (SFTP, HTTPS-API und -Benutzeroberfläche, WebDAV über HTTPS). Daten, die zwischen verschiedenen Agillic-Komponenten übertragen werden, werden mit dem Protokoll TLS 1.2 über HTTPS verschlüsselt.
Datenverfolgung und Datenerhebung
Agillic sammelt E-Mail-Reaktionen auf individueller Ebene (Öffnungsstatus, Klick auf Links, Rebound usw.).
Außerdem stellt Agillic ein Website-Tracking-Skript zur Verfügung (die Verwendung ist nicht obligatorisch). Die Plattform ordnet eine First-Party-Cookie-ID einer internen System-ID zu, wenn ein Verbraucher sich engagiert (d. h. auf einen Link klickt), und ermöglicht es, das Verbraucherverhalten auf Ihrer Website zu verfolgen.
Agillic bietet auch ein erweitertes Tracking-Skript, das den Google Tag Manager nutzt, um die Aktivitäten und das Verhalten der Verbraucher auf Ihrer Website genauer zu überwachen.
Die gesammelten Trackingdaten können auf der Plattform nur dazu verwendet werden, eine Zielgruppe für einen bestimmten Kommunikationszweck zu definieren.
Löschung von Empfängern
Agillic ermöglicht die Integration mit Stammdatenbeständen, die das Hinzufügen und Entfernen von Empfängern steuern. Die Datenintegration ist der empfohlene Ansatz zur Pflege der Empfängerdaten. Es ist jedoch in Agillic auch möglich, Empfänger manuell über Zielgruppen zu löschen.
3. Systemsicherheit
Die Systemsicherheit befasst sich mit dem Schutz der Softwaremodule, Ressourcen und Konfigurationen, die die Agillic-Plattform betreiben.
Aktivitätsprotokollierung
Die Aktivitäten in den verschiedenen Systemkomponenten werden zu Prüfzwecken protokolliert und nachverfolgt. Die Aktivität wird mit Datum/Uhrzeit, Art der Aktivität, Quell-IP und anderen relevanten Transaktionsinformationen protokolliert.
Verfügbarkeit, Backups, Redundanz und Wiederherstellung
Die Agillic-Plattform basiert auf einer hochverfügbaren Infrastruktur, die von einem bewährten Branchenanbieter unterstützt wird. Im Falle eines Hardwareausfalls werden unsere virtualisierten Server automatisch und ohne Ausfallzeiten auf eine neue Hardware übertragen.
Die Backups werden täglich erstellt und für zwei Monate extern an mehreren Standorten gespeichert. Um dem „Recht auf Vergessenwerden“ gerecht zu werden, wird eine interne Empfänger-ID gespeichert und verwendet, um gelöschte Kundendaten nach einer Wiederherstellung wieder zu löschen.
Geofencing
Wir stellen sicher, dass die Kundendaten innerhalb der EU gespeichert werden (entweder in Dänemark oder Irland).
4. Sicherheitsinfrastruktur
Die Sicherheitsinfrastruktur betrifft den Schutz der physischen Dienstleistungen und Datengeräte, die den Betrieb der Plattform ermöglichen.
Virtuelle Sicherheit
Der Aufbau unserer Infrastruktur gewährleistet Sicherheit durch möglichst viele Einschränkungen. Dazu gehören: Einschränkungen bezüglich der Personen mit Serverzugriff, Firewall-Konfiguration, IP-Beschränkungen, Deaktivierung nicht genutzter Funktionen (Härtung) und die Verwendung möglichst sicherer Verschlüsselungen.
Netzwerk-Management
Die implementierte Firewall lässt die Internetverbindung nur für die erlaubten Ports zu: Port 80 für HTTP und Port 443 für HTTPS. Die Firewall ermöglicht auch Netzwerkadressübersetzung (Network Address Translation, NAT). NAT verbirgt die wahre IP-Adresse eines Servers vor dem Client, der sich mit ihm verbindet.
Um unsere Server vor DDoS- und ähnlichen Angriffen zu schützen, wird Broadcast-Sturm-Schutz eingesetzt.
Wartung und Überwachung
Upgrades und Patches für Anwendungen und Server werden regelmäßig durchgeführt, um den bestmöglichen Schutz vor Angriffen zu gewährleisten. Darüber hinaus führt Agillic regelmäßig Schwachstellenbewertungen unserer Netze und Geräte durch, wobei eine Vielzahl von Tools und Technologien zum Einsatz kommt, darunter Nessus und andere branchenübliche Lösungen.
Physische Sicherheit
Sämtliche Kundendaten und all unsere Produktionsumgebungen werden auf Tier3+-Ebene in hochsicheren Rechenzentren gehostet, die den Informationssicherheitsstandards gemäß ISO 27001 entsprechen. Sie befinden sich entweder in Dänemark oder in Irland.
Zugangskontrolle
Der Zugang zu den Datenzentren, in denen die Anwendung läuft und die Daten gespeichert werden, ist auf befugtes Personal beschränkt. Zu den physischen Sicherheitsmaßnahmen gehören Sicherheitspersonal vor Ort, Videoüberwachung und zusätzliche Maßnahmen zum Schutz vor Einbrüchen.
5. Richtlinien und Kontrollen
Mitarbeiter
Zugang zu Kundendaten
Die Mitarbeiter von Agillic haben nur dann Zugang zu Kundendaten, wenn es erforderlich ist, je nach ihrer Funktion und nur nach schriftlicher Einwilligung des Kunden. Alle Zugriffe werden genauestens protokolliert.
Schulungen
Die Mitarbeiter von Agillic werden in der Anwendung der Sicherheitsgrundsätze und der Datenschutzhinweise sowohl bei ihrer Einstellung als auch regelmäßig im Laufe des Arbeitsverhältnisses geschult.
Arbeitsstationen
Der Rechner eines jeden Mitarbeiters wird zentral verwaltet und aktualisiert (einschließlich Virenschutz, Patches und Aktivierung der automatischen Zugriffssperre).
Die Netzwerke sind voneinander getrennt, um einen Zugang nach dem Prinzip der geringsten Privilegien zu gewährleisten, und der Zugang wird zentral verwaltet (LDAP).
Entwicklung
Sicherheit ist ein integrierter Bestandteil des Entwicklungsprozesses von Agillic mit dem Schwerpunkt auf Security-by-Design und Privacy-by-Design.
Engagiertes Personal
Agillic verfügt über engagiertes IT-Sicherheitspersonal, das den Status kontinuierlich überwacht und die Sicherheitseinstellungen durch proaktive und korrigierende Maßnahmen verbessert.
Umgang mit Sicherheitsvorfällen und Risiken
Der Umgang mit Vorfällen und festgestellten Risiken erfolgt nach einem strengen und genau definierten Verfahren.
Änderungsverfahren
Unser Änderungsmanagement inklusive Risikobewertung, Qualitätssicherung und Genehmigungsverfahren ist in unserem ISMS beschrieben.
