Betriebssicherheit¶
Diese Seite beschreibt, wie wir die Cloud Edition betreiben. In der Enterprise Edition fallen dieselben Themen Ihnen zu, da die Bereitstellung Ihre ist: siehe Geteilte Verantwortung.
Sicherheit von Netzwerk und Endgeräten¶
Die Umgebungen für Produktion und für Test und Entwicklung von Drovio laufen beide auf AWS, in getrennten VPCs ohne jede Route zwischen ihnen. Keine der beiden kann die andere erreichen, und sie teilen sich weder Instanzen noch Datenbanken noch Speicher. Die Produktion ist über mehrere AWS-Regionen verteilt, wobei der Hauptstack und die Kundendaten in Oregon liegen (siehe Hosting); die Testumgebung ist ein einziges, eigenständiges VPC.
- Die Produktionsserver sind nur dann öffentlich erreichbar, wenn es nötig ist, und es werden ausschließlich die unbedingt notwendigen Portbereiche geöffnet.
- Wir protokollieren, überwachen und auditieren unsere Umgebungen intern, mit Alarmen, die jeden möglichen Einbruch melden sollen.
- Der administrative Zugriff läuft über einen Bastion-Host, durch einen verschlüsselten Tunnel: die Produktionsserver werden nie direkt aus dem Internet heraus administriert. Er beruht auf Verschlüsselungsschlüsseln und einer Zwei-Faktor-Authentifizierung und gilt für alle Server, ob sie Kundendaten beherbergen oder nicht.
- Drovio wendet das Prinzip der geringsten Rechte und rollenbasierte Berechtigungen an, wenn Zugänge vergeben werden.
- Die Mitarbeitenden müssen eindeutige und komplexe Passwörter verwenden sowie unseren freigegebenen Passwortmanager, wo dies möglich ist.
Penetrationstests¶
Wir führen unsere eigenen internen Penetrationstests vierteljährlich durch. Wir laden auch unsere Kunden ein, ihre eigenen durchzuführen: unsere Enterprise Edition bietet eine kostenlose Testphase, die dafür genutzt werden kann.
Sicherheitszertifizierungen¶
Wir halten derzeit keine Sicherheitszertifizierungen, beabsichtigen aber, das mit dem Wachstum des Unternehmens zu ändern.
Umgang mit Schwachstellen¶
Meldung¶
Wenn Sie glauben, eine Schwachstelle in Drovio entdeckt zu haben, melden Sie sie an security@drovio.com, mit genügend Details, um sie zu reproduzieren. Wir bestätigen den Eingang jeder Meldung innerhalb von drei Werktagen und halten Sie über den weiteren Verlauf auf dem Laufenden. Bitte lassen Sie uns eine angemessene Frist zur Behebung, bevor Sie die Schwachstelle öffentlich machen.
Für eine Frage, die personenbezogene Daten und nicht eine Schwachstelle betrifft, schreiben Sie an privacy@drovio.com; siehe Compliance und Datenverarbeitung.
Fristen für die Behebung¶
Sobald eine Schwachstelle bestätigt ist, bewerten wir sie mit CVSS v3.1 und streben an, eine Korrektur innerhalb der folgenden Fristen zu veröffentlichen:
| Schweregrad | CVSS-Score | Zielvorgabe |
|---|---|---|
| Kritisch | 9,0 bis 10,0 | 7 Tage |
| Hoch | 7,0 bis 8,9 | 30 Tage |
| Mittel | 4,0 bis 6,9 | 90 Tage |
| Niedrig | 0,1 bis 3,9 | Nächste geplante Version, höchstens 180 Tage |
Drei Präzisierungen geben diesen Zielvorgaben ihren eigentlichen Sinn:
- Die Frist beginnt mit der Bestätigung der Schwachstelle, nicht mit ihrer Meldung.
- Wozu wir uns verpflichten, ist die Verfügbarkeit einer Korrektur oder eines dokumentierten Workarounds, in einer veröffentlichten Version. Ihre Installation fällt Ihnen in der Enterprise Edition zu, wo wir Ihre Server nicht an Ihrer Stelle aktualisieren können (siehe Geteilte Verantwortung).
- Für eine Schwachstelle in einer Drittkomponente, die wir ausliefern, und nicht in Drovio selbst, läuft die Frist ab dem Zeitpunkt, zu dem die Korrektur stromaufwärts bereitgestellt wird.
Diese Zielvorgaben gelten für die aktuelle Version. Ältere Versionen werden nicht korrigiert: da die Versionen abwärtskompatibel bleiben, ist die Aktualisierung immer der Weg zur Behebung.