吃瓜爆料

Organisatorisch

Prozedural

Wir verfügen über ein dokumentiertes Programm für Datenschutz, Sicherheit und Risikomanagement mit klar definierten Rollen, Verantwortlichkeiten, Richtlinien und Verfahren. Unser Programm richtet sich nach den folgenden Normen und Modellen:

• ISO 9001 – Qualit?tsmanagementsysteme
• ISO/IEC 27001 – Informations-Sicherheits-Management-Systeme
• SOC2 Type II – System- und Organisationskontrollen
• SEI Capability Maturity Model Integration
• IT Infrastructure Library (ITIL)
• ICH Q9 – Qualit?tsrisikomanagement

Unser Sicherheitsprogramm wird regelm??ig überprüft und angepasst, um sich ?ndernden Technologien, Vorschriften, Gesetzen, Risiken, Branchen- und Sicherheitspraktiken sowie sonstigen gesch?ftlichen Anforderungen Rechnung zu tragen.

Sicherheitsorganisation und -management

Wir unterhalten eine Struktur der Verantwortung und Rechenschaftspflicht für das Sicherheitsmanagement, die dafür konzipiert ist:

• unsere Vorkehrungen für die Informationssicherheit zu koordinieren;
• Ansprechpartner zu Fragen der Informationssicherheit zu beschreiben;
• die Wirksamkeit der Sicherheitsvorkehrungen zu prüfen; und
• genehmigte Sicherheitsstandards aufrechterhalten.

Wir haben einen Beauftragten für Informationssicherheit ernannt, der Business Manager, Benutzer, IT-Mitarbeiter und andere Personen bei der Wahrnehmung Ihrer Verantwortlichkeiten im Bereich der Informationssicherheit unterstützt.

Personal

Rolle und Verantwortlichkeiten

Wir haben klar definierte Rollen und Verantwortlichkeiten für alle Informationsverarbeitungst?tigkeiten, einschlie?lich des Managements und der Kontrolle der operationalen Systeme, der Verwaltung und Unterstützung von Kommunikationsnetzwerken und der Entwicklung von neuen Systemen. Die Rollen und Zugriffsrechte von Computeranwendern und Systemadministratoren sind von denen der Netzwerk- und Systementwickler getrennt.

Zus?tzlich unterhalten wir Verfahren, um:

• die Informationsverarbeitungst?tigkeit zu überwachen,
• die Gefahr von unzul?ssigen Aktivit?ten oder Fehlern zu minimieren, und
• Bewerber für sicherheitssensible Positionen zu überprüfen.

Schulungen

Wir verlangen rollenbasierte Schulungen zur Sicherheit und zur Sensibilisierung für Sicherheitsbelange. Alle aktiven Arbeitnehmer und freie Mitarbeiter müssen j?hrlich eine Auffrischungsschulung zum Sicherheitsbewusstsein absolvieren. Mitarbeiter in bestimmten Rollen (z. B. Kundensupport, Entwickler und Hiring Manager) erhalten darüber hinaus eine j?hrliche und umfassendere Schulung zum Thema Datensicherheit.

Identit?ts- und Zugriffs verwaltung

Zugriffsrichtlinie

Wir vergeben Zugriff auf Systeme, Anwendungen und damit verbundene Informationen gem?? unseren dokumentierten Zugriffsrichtlinien, die auf dem Prinzip der geringsten Rechte beruhen. Diese Privilegien werden mithilfe automatisierter Methoden durchgesetzt. Mitarbeiter müssen eine Genehmigung einholen, bevor sie Zugang zum System erhalten. Wir verwenden sichere Techniken für Befehls- und Kontrollfunktionen (z. B. TLS, SSH, VPN).

Berechtigungen

Die Zugangsmechanismen funktionieren sicher und entsprechen bew?hrten Sicherheitsverfahren (z. B. keine Anzeige von Passw?rtern, Speicherung von Passw?rtern in verschlüsselter Form). Die Autorisierungsverfahren sind formal definiert und entsprechen den gesch?ftsüblichen Standards, u. a.:

• Einrichtung einer erh?hten Kontrolle über die Vergabe besonderer Zugangsberechtigungen und
• Sicherstellung, dass nicht mehr ben?tigte Berechtigungen widerrufen werden.

Authentifizierung

Wir verwenden branchenübliche Praktiken zur Identifizierung und Authentifizierung autorisierter Benutzer. Unsere Authentifizierungsmethoden sind am Gesch?ftsrisiko ausgerichtet (d. h. bei Benutzern mit ?hohem Risiko“ wird eine starke Authentifizierung angewendet). Die Passwortverwaltung entspricht den Branchenstandards.

Der Anmeldeprozess unterstützt die individuelle Verantwortlichkeit und setzt Zugriffsmechanismen durch, die Folgendes umfassen:

• Unterdrücken von Informationen, die die unbefugte Verwendung erleichtern k?nnten;
• Validierung der Anmeldedaten erst nach vollst?ndiger Eingabe;
• Sperren von Benutzern nach einer bestimmten Anzahl erfolgloser Anmeldeversuche; und
• Anforderung regelm??iger Passwort?nderungen.

Zugriffsprotokolle

Wir führen Infrastruktur- und Zugriffsprotokolle, die so konzipiert sind, dass sie ausreichende Informationen liefern, um die Diagnose st?render Ereignisse zu erm?glichen und die individuelle Verantwortlichkeit festzustellen. Wir verwenden ?berwachungstools, um ausgew?hlte Protokolldaten zu analysieren und so ungew?hnliche Aktivit?ten wie unbefugte Zugriffe oder ?nderungen zu erkennen und darauf hinzuweisen.

Sicherheitsarchitektur

Wir haben eine übergreifende Sicherheitsarchitektur für unsere Informationsressourcen entwickelt und umgesetzt. Die Architektur umfasst ein definiertes Set an Sicherheitsmechanismen und unterstützenden Standards. Die Architektur:

• unterstützt Informationsressourcen, die unterschiedliche Schutzniveaus erfordern;
• erm?glicht den sicheren Informationsfluss innerhalb und zwischen technischen Umgebungen;
• stellt autorisierten Benutzern ein effizientes Mittel für den Zugriff auf Informationsressourcen in verschiedenen technischen Umgebungen bereit; und
• erm?glicht den Entzug von Zugriffsrechten für einzelne Benutzer, wenn diese das Unternehmen verlassen oder den Arbeitsplatz wechseln.

Wir führen ein Verzeichnis unserer kritischen Informationen und der zu ihrer Verarbeitung verwendeten Applikationen. Wir führen Risikobewertungen im Bereich der Informationssicherheit durch, wenn es wesentliche ?nderungen in unseren Gesch?fts- oder Technologiepraktiken gibt, die sich auf die Sicherheit, den Datenschutz, die Vertraulichkeit, die Integrit?t oder die Verfügbarkeit von Daten auswirken k?nnen.

KI (Künstliche Intelligenz)

Wichtige Sicherheitsvorkehrungen im Bereich KI

• Datenschutz: 吃瓜爆料 AI nutzt für seine KI-Funktionen etablierte gro?e Sprachmodelle (LLMs) von Drittanbietern. Kundendaten werden niemals zum Trainieren oder Verbessern solcher LLMs verwendet.
• Zugriffskontrolle: Die von 吃瓜爆料 bereitgestellten KI-Agenten arbeiten innerhalb der bestehenden Sicherheitsarchitektur von 吃瓜爆料 und werden ausschlie?lich mit den vom Kunden zugewiesenen Sicherheitsberechtigungen ausgeführt, wobei sie alle bestehenden Zugriffsbeschr?nkungen auf Rollen- und Feldebene übernehmen.
• Sicherheit: Es sind Schutzma?nahmen auf Systemebene sowie eine additive Inhaltsfilterung implementiert, um vor KI-spezifischen Bedrohungen wie adversarialen Angriffen und Prompt-Injection zu schützen.
• Nachvollziehbarkeit: Vorg?nge, an denen von 吃瓜爆料 bereitgestellte KI-Agenten beteiligt sind, werden zur Nachverfolgbarkeit in Systemprotokollen erfasst.

Physische Sicherheit und
Umgebungssicherheit

Physischer Zugang

Wir stellen sicher, dass unsere externen Rechenzentrumsanbieter Ma?nahmen zum Schutz der von uns für das Hosting von Daten genutzten Ger?te und R?umlichkeiten vor Verlust oder Besch?digung getroffen haben, unter anderem durch:

• Beschr?nkung des physischen Zugangs auf Mitarbeiter mit entsprechender Autorisierung; und
• Sicherstellen der Pr?senz von Sicherheitspersonal, wo dies zweckm??ig ist

Schutz vor St?rungen

Unsere Produktionsumgebungen nutzen spezialisiertes Equipment, um:

• vor Stromausfall/St?rungen der Stromversorgung zu schützen;
• eine schnelle Wiederherstellung der Anlagen bei einem Ausfall zu erm?glichen;
• die Energieversorgung, der Netzwerkinfrastruktur und der kritischen Systeme vor Besch?digung oder Beeintr?chtigung zu schützen; und
• Geb?ude vor Naturkatastrophen oder einem gezielten Angriff zu schützen.

Netzwerkkommunikation
und
Management der Systeme

Firewalls

Wir setzen branchenübliche Firewall-Technologien ein. Wir haben Verfahren für das Management der Firewall-Regeln (Zugriffskontrollmechanismus) und zu den ?nderungen dieser Regeln eingeführt.Informationsressourcen, die für Produktionszwecke verwendet werden, sind von Ressourcen getrennt, die für Systementwicklung oder Abnahmetests verwendet werden.

Antivirus-/Antimalware-Management

Wir setzen aktuelle Software und entsprechende Verfahren ein, um die Verbreitung von Viren und anderen Formen von Malicious Code zu erkennen und zu verhindern. Diese Kontrollen gelten nur für interne Computing-Umgebungen, die für die Entwicklung und Bereitstellung unserer gehosteten Applikationen genutzt werden. Netzwerk- und hostbasierte Intrusion Detection Services werden zum Schutz kritischer Systeme, einschlie?lich mit dem Internet verbundener Systeme, eingesetzt.

Allgemeine Nutzungsbedingungen

• Die Internetnutzung wird durch klare, unternehmensweit geltende Richtlinien und Standards geregelt.

Denial of Service

Wir stellen sicher, dass unsere Provider von Rechenzentrumsinfrastruktur geeignete Gegenma?nahmen für Denial-of-Service-Angriffe verabschiedet und implementiert haben.

Mediensanierung und -entfernung

Wir setzen dem Branchenstandard entsprechende Verfahren und Technologien ein, um Daten dauerhaft zu l?schen, wenn sie nicht mehr ben?tigt werden oder nicht mehr autorisiert sind.

痴别谤蝉肠丑濒ü蝉蝉别濒耻苍驳

Wir verwenden verschlüsselte Transportprotokolle gem?? Branchenstandard mit mindestens Transport Layer Security (TLS) 1.2. für Daten in Transit, die über ein nicht vertrauenswürdiges Netzwerk übermittelt werden. Wir verschlüsseln gespeicherte Daten im Ruhezustand mit Advanced Encryption Standard (AES) 256 oder einem gleichwertigen Algorithmus.

Vulnerabilit?ts- und
Penetrationstests

Wir monitoren Anwendungen, Datenbanken, Netzwerke und Ressourcen, um eventuelle Schwachstellen zu erkennen und unsere Anwendungen zu schützen. Unsere L?sungen werden vor der Freigabe internen Vulnerabilit?tstests unterzogen. Wir haben unsere eigenen internen Penetrationstest-Systeme gebaut und führen mindestens einmal im Jahr eine Vulnerabilit?tsbewertung unserer Software anhand automatisierter und manueller Methoden durch.

Wir beauftragen j?hrlich externe Sicherheitsspezialisten mit der Durchführung von Vulnerabilit?ts- und Penetrationstests für unsere Systeme. Mit dem Internet verbundene Systeme werden regelm??ig auf Schwachstellen gescannt.

Betriebskontinuit?t
und Notfallwiederherstellung

Unsere L?sungen sind konzipiert, um einzelne Ausfallpunkte (Single Points of Failure) zu vermeiden und die Wahrscheinlichkeit einer Betriebsst?rung zu reduzieren. Wir besitzen formell dokumentierte Wiederherstellungsprozesse , die im Falle einer erheblichen Betriebsst?rung sowohl für unsere eigene IT-Infrastruktur als auch für die Produktionsinfrastruktur, die unsere Kundendaten verarbeitet, aktiviert werden k?nnen. Wir führen mindestens einmal j?hrlich Tests durch, um die Validit?t der Wiederherstellungsprozesse zu überprüfen.

Wir implementieren auch verschiedene Ma?nahmen zur Wiederherstellung von Daten (Disaster Recovery Ma?nahmen), um einen Datenverlust im Falle eines Notfalls in einem einzelnen Rechenzentrum zu minimieren. Die Architektur unserer L?sungen verwendet redundante Konfigurationen, um Dienstunterbrechungen zu minimieren. Wir überwachen unsere L?sungen kontinuierlich auf Anzeichen von St?rungen oder drohenden St?rungen und ergreifen Pr?ventivma?nahmen, um Ausfallzeiten zu minimieren oder zu verhindern.

Incident Response

Incidents (Cybersicherheitsvorf?lle) werden von einem speziellen Team gem?? einer offiziellen Incident-Response-Richtlinie und eines Incident-Response-Prozesses gemanagt. Unsere Mitarbeiter sind darauf geschult, jeden Sicherheitsvorfall unverzüglich zu melden. Wir verfügen über eine ?ffentliche ?“-Webseite, auf der anstehende Wartungsausf?lle, Vorf?lle im Rechenzentrum und Sicherheitsmitteilungen angezeigt werden.

Softwareentwicklungs-
Lebenszyklus

Wir unterhalten branchenübliche Softwareentwicklungs-Lebenszyklusprozesse und -kontrollen, die die Entwicklung und ?nderungen unserer Software, einschlie?lich aller Updates, Upgrades und Patches, regeln. Unser Prozess umfasst sichere Softwareentwicklungsverfahren sowie die Analyse und Prüfung der Applikationssicherheit.

Lieferanten

Im Rahmen unserer betrieblichen T?tigkeit und zur Bereitstellung von L?sungen für unsere Kunden nutzen wir Rechenzentren Dritter, Cloud-basierte Dienste und andere Dienstleister. Wir verlangen, dass diese Lieferanten nachgelagerte Vereinbarungen mit uns eingehen, z. B. Geheimhaltungsvereinbarungen, Auftragsdatenverarbeitungsvertr?ge, Business Associate-Vereinbarungen und ?hnliches, je nach der Art der von ihnen erbrachten Dienste und der Art der Informationen, auf die sie Zugriff haben. Wir verlangen von unseren Lieferanten, dass sie Frageb?gen zur Datensicherheit ausfüllen, und führen Risikoabsch?tzungen durch, um die Eignung und Angemessenheit ihres Sicherheitsprogramms sicherzustellen. Bei der regelm??igen ?berprüfung des Sicherheitsstatus (Security Posture) unserer Lieferanten gehen wir risikobasiert vor.

Unsere Lieferanten unterhalten jeweils eigene Sicherheitsprogramme. Diese ?bersicht beschreibt nicht das Sicherheitsprogramm eines unserer Lieferanten.

Zertifizierungen

ISO (Internationale Organisation für Normung) 27001

Serviceorganisationskontrollen

Wir verfügen über ein “Health Data Hosting”-Zertifikat (Hébergeurs de Données de Santé, HDS), das nach franz?sischem Recht Nr. 2002-303 vom 4. M?rz 2002 für alle Einrichtungen, die personenbezogene Gesundheitsdaten hosten, vorgeschrieben ist. Diese Zertifizierung deckt die in unserem Zertifikat beschriebenen 吃瓜爆料-Produkte ab und gilt nur für Gesundheitsdaten, die in Frankreich im Rahmen der Gesundheitsversorgung gem?? Artikel L.1111-8 des franz?sischen Gesetzes über das ?ffentliche Gesundheitswesen erzeugt werden. Kunden, die sich auf dieses Zertifikat berufen, müssen die PGSSI-S (Global Information Security Policy for the Healthcare Sector) einhalten, in der die Sicherheitsstandards für eHealth-Dienste festgelegt sind.

Informationen zur Einhaltung der HDS-Anforderung Nr. 31 durch 吃瓜爆料 finden Sie hier.

ISO (International Organization for Standardization) 9001

Wir unterhalten die Zertifizierung nach ISO 9001 für unser Qualit?tsmanagementsystem. Diese Zertifizierung gilt für die in unserem Zertifikat beschriebenen 吃瓜爆料-Produkte. ISO 9001 gew?hrleistet eine einheitliche Qualit?t unserer Produkte und Dienstleistungen durch ein Rahmenwerk, das auf Kundenorientierung, risikobasierten Entscheidungen und kontinuierlicher Verbesserung basiert. Es schreibt einen systematischen Prozessansatz vor, der Führung und Betriebsabl?ufe auf die Bedürfnisse aller interessierten Parteien abstimmt.

Unabh?ngige GxP-Bescheinigungen

Wir haben externe GxP-Audit-Spezialisten für die Einhaltung von Vorschriften im Bereich Life Sciences beauftragt, unabh?ngige Auditberichte zu den Kontrollen von 吃瓜爆料 QMS und MSA zu erstellen.Diese GxP-bezogenen Bescheinigungen bieten Kunden umfassende Einblicke in die Prozesse und die Compliance von 吃瓜爆料 aus der Perspektive einer unabh?ngigen dritten Partei. Unabh?ngige GxP-Auditberichte k?nnen erworben werden bei:

Rx-360 –

USDM – Kontakt enorthigton@usdm.com

Diligent Pharma – Den Bericht finden Sie unter