Technisch organisatorische Maßnahmen (TOM)

1. Pseudonymisierung personenbezogener Daten

Im Falle der Pseudonymisierung: Trennung der Zuordnungsdaten und Aufbewahrung in getrenntem und abgesicherten Systemen (mögl. verschlüsselt).

‍

Interne Anweisung, personenbezogene Daten im Falle einer Weitergabe oder auch nach Ablauf der gesetzlichen Löschfrist möglichst zu anonymisieren/ pseudonymisieren.

2. Verschlüsselung personenbezogener Daten

Alle IT-Systeme, die personenbezogene Daten speichern und verarbeiten werden verschlüsselt.

‍

Die sichere Übertragung von Daten wird durch das Kommunikationsprotokoll https gewährleistet.  

3. Gewährleistung der Integrität und Vertraulichkeit

Flinker nutzt die Dienste der Azure Cloud der Microsoft Corporation. Alle Informationen zum Rechenzentrum, Datenschutz und Datensicherheit, sind unter folgender URL beschrieben: Starke Datenintegrität in der Cloud | Microsoft Trust Center. Dies umfasst mitunter folgende Punkte:

‍

Ein unternehmensweites, risikoorientiertes Informationssicherheitssystem (ISMS) ist durch Microsoft Data Governance implementiert.

‍

Es werden ausschließlich Microsoft Azure Komponenten mit Logging, Backup und Security eingesetzt. Keiner dieser Dienste ist selbst gehostet.

‍

Das Notfallmanagementsystem umfasst das Release-Management, Backup und Azure-Technologie, mit der Dienste leicht wiederhergestellt werden können.

‍

Die physische Sicherheit der Daten wird durch das Microsoft Datenzentrum in Europa gewährleistet.

‍

Der Dienst wird vollständig von uns entwickelt und vollständig auf Azure gehostet. Abgesehen von Microsoft ist keine weitere Partei beteiligt.

‍

Alle verwendeten SPFx-Webparts führen JavaScript-Code im Browser aus und lösen damit keine Installation oder Code auf der Seite des Kunden aus.

Speichern/Löschen von Daten

Der Zugriff auf sicherheitsrelevante Informationen über das Live-System ist auf wenige Mitarbeiter (mit Sitz in Deutschland) beschränkt. Diese haben den alleinigen Zugang zur Produktivumgebung. Alle unsere Mitarbeiter sind im Umgang mit Kundendaten sensibilisiert und kennen unsere Sicherheitsstandards zum Datenschutz.

‍

Eine Weitergabe von kundenbezogenen Daten findet in keinem Fall statt. Es bestehen auch keine gesetzlichen Verpflichtungen zur Weitergabe von Daten an Dritte. Abgesehen von Microsoft sind keine Dritten beteiligt.

‍

Für die Verarbeitung und Speicherung der Daten werden ausschließlich Microsoft-Rechenzentren in Europa genutzt.

‍

Alle Ihre Daten können auf Wunsch komplett gelöscht werden. Hierdurch entstehen für Sie keine Kosten.

‍

Der Kunde kann die komplette Anwendung auch in seiner eigenen Azure-Umgebung hosten. Dort werden keine Daten weitergegeben und jeder Prozess findet nur im Mandanten des Kunden statt. Im Falle einer Insolvenz kann der Dienst problemlos in Ihrem eigenen Azure weitergeführt werden.  

Erheben von Daten

Die Aktionen im Dienst werden protokolliert und können auf Wunsch dem Kunden als csv-Datei zur Verfügung gestellt werden. Anfallende Kosten sind vom Kunden zu tragen.

Änderungen und Wartungen

Unsere Kunden werden über alle sicherheitsrelevanten Änderungen informiert.

‍

Da kein separater Authentifizierungsprovider verwendet wird, kann ein Sicherheitsvorfall nur über Microsoft Azure erfolgen. Sollte ein Sicherheitsvorfall auftreten, wird dieser zum frühestmöglichen Zeitpunkt gemeldet.

‍

Alle Arten von Ausfällen, Wartungs- und Sicherheitsvorfällen werden Ihnen mitgeteilt.

4. Gewährleistung der Verfügbarkeit und Belastbarkeit

Flinker nutzt die Dienste der Microsoft Azure Deutschland-Cloud, sowie der Microsoft Corporation. Alle Informationen zum Rechenzentrum, Datenschutz und Datensicherheit, sind unter folgender URL beschrieben: Starke Datenintegrität in der Cloud | Microsoft Trust Center. Dies umfasst mitunter folgende Punkte:

‍

Die Authentifizierung wird von Microsoft SharePoint / Office 365 übernommen. Flinker stellt keine eigene Authentifizierung zur Verfügung, es wird ausschließlich das Token weitergegeben.

‍

Der Zugriff auf sensible Daten über das Live-System wenige Mitarbeiter beschränkt. Es gibt keine Möglichkeit des externen Zugriffs auf die Daten des Kunden. Die Zugangsbeschränkung wird durch das Azure Authentication Log kontrolliert und sichergestellt.

‍

Die Überwachung und Protokollierung wird durch Azure Log Analytics gewährleistet.  

Eine regelmäßige Datensicherung wird durch Microsoft Azure gewährleistet.

‍

Bezüglich technischer Abhängigkeiten wird auf die von Microsoft für Office 365 empfohlenen Browser verwiesen. Flinker hält sich an diese Empfehlungen und passt den Quellcode entsprechend an.

Verwendete Technologien  

Der Zugriff auf den Dienst erfolgt über Microsoft Teams oder SharePoint. Für die Nutzung von Teams oder SharePoint-Anwendungen durch Flinker ist eine App-Registrierung erforderlich (Azure AD App Registration), die vom Administrator genehmigt werden muss.

‍

Diese Anwendung wird für jeden Kunden verwendet und wird auch für den Zugang zu den Tenants verwendet. Diese Anwendung nutzt Methoden für Mehrmandantenfähigkeit unter Verwendung von Azure AD für die Authentifizierung und Identitätsverwaltung.

Belastbarkeit

Das Vorhandensein regelmäßiger Code-Reviews, Funktions-, Komponenten- und Integrationstests unter Berücksichtigung von Sicherheitsaspekten ist sichergestellt. Damit werden zusätzlich die Programmier- und Härtungsrichtlinien sichergestellt.

‍

Der Change-Management-Prozess wird in Form einer agilen Softwareentwicklung in Sprints, unter Verwendung von Microsofts Azure umgesetzt. Das Deployment erfolgt erst nach automatisierten und manuellen Tests und nach Freigabe.  

5. Wiederherstellung der Verfügbarkeit personenbezogener Daten

Flinker nutzt die Dienste der Microsoft Azure Deutschland-Cloud, sowie der Microsoft Corporation. Alle Informationen zur Wiederherstellung und Verfügbarkeit, sind unter folgender URL beschrieben: Starke Datenintegrität in der Cloud | Microsoft Trust Center.

6. Überprüfung, Bewertung und Evaluierung der Wirksamkeit der vorgenannten Maßnahmen

Zur Überprüfung der beschriebenen Maßnahmen wurde ein internes Kontrollsystem etabliert. Die Ergebnisse werden regelmäßig geprüft, bewertet und aktualisiert.

‍

Zur Überprüfung der Sicherheitsmechanismen und -prozesse besteht die Möglichkeit eines Audits durch Mitarbeiter von Flinker. Die dabei anfallenden Kosten sind vom Kunden zu tragen. Für eine Auditierung durch einen Microsoft-Mitarbeiter richten Sie Ihre Anfrage bitte direkt an Microsoft.