LoyJoy

IT-Sicherheitsmaßnahmen in der LoyJoy-Plattform

•

Einführung

Dieses Dokument beschreibt die IT-Sicherheitsmaßnahmen, die bei LoyJoy implementiert werden, um Informationssicherheits-, Datenschutz- und Compliance-Anforderungen zu erfüllen.

Risikomanagement

Bei unserem Infrastrukturanbieter Google Cloud EMEA liegt eine Zertifizierung nach einem ISMS-Standard wie ISO 27001 oder PCI DSS vor. Für LoyJoy leitend sind die Informationssicherheits-Standards nach BSI IT-Grundschutz. Auf Dauer streben wir eine Zertifizierung per ISO 27001-Zertifikat auf Basis des BSI IT-Grundschutzes an.

Anforderungsmanagement

Das Anforderungsmanagement wird bei LoyJoy auf Basis von SCRUM umgesetzt, wodurch der Cloud-Dienstleister Kundenanforderungen schnell und effektiv erfassen, priorisieren und umsetzen kann. Scrum bietet einen iterativen und inkrementellen Ansatz, der es dem Team ermöglicht, schnell auf Änderungen zu reagieren und kontinuierlich Mehrwert für den Kunden zu schaffen. Die Dokumentation von Anforderung erfolgt als SCRUM-Items in einem Product Backlog bzw. dem Sprint Backlog auf Basis eines SCRUM-Tools.

Personalsicherheit

Für Mitarbeiter werden regelmäßig verpflichtende Schulungen und Informationsveranstaltungen zum Thema IT-Sicherheit durchgeführt.

Verschlüsselung

In der LoyJoy Cloud Platform werden sowohl ruhende als auch übertragene Daten mit modernster Verschlüsselung verschlüsselt. Wir befolgen branchenübliche Best Practices und Standards wie AES und TLS.

Data at Rest

Daten im Ruhezustand werden mit der integrierten Google-Verschlüsselung und anschließend noch einmal mit unserer eigenen AES-Verschlüsselung verschlüsselt. Dies gilt auch für Datenquellen in Vektordatenbanken. Wir verfügen über einen eigenen AES-Schlüssel, der bewusst nicht in der Google Cloud-Konfiguration enthalten ist.

Daten im Ruhezustand können auf Anweisung des Kunden im LoyJoy-Mandanten minimiert werden, da das LoyJoy Customer Success Team bestimmte oder alle Daten-Backends deaktivieren kann. Durch die Deaktivierung aller Daten-Backends wird die LoyJoy Cloud Platform effektiv als vorübergehende Datenverarbeitungsumgebung für den Mandanten konfiguriert.

Für alle ruhenden Daten gibt es automatische Ablaufdaten zwischen 7 und maximal 720 Tagen. Der Kunde entscheidet, welche Daten wie lange gespeichert werden.

Data in Transit

Die übertragenen Daten werden mit Punkt-zu-Punkt-Verschlüsselung verschlüsselt, um Vertraulichkeit und Integrität während der Datenübertragung zu gewährleisten. Dies gilt auch für den Transfer zu Azure OpenAI, OpenAI und anderen Drittanbietern. Die Punkt-zu-Punkt-Verschlüsselung wird auf Protokollebene mit TLS für HTTPS und SMTPS implementiert. Alle Schlüssel werden automatisch von Google Cloud Run verwaltet. Darüber hinaus können E-Mail-Texte durch Anhängen einer verschlüsselten PDF-Datei zum E-Mail-Versand verschlüsselt werden.

Backup

Administrative Konfigurationsobjekte (z. B. Prozessmodelle) werden täglich gesichert und versioniert abgelegt. Sofern personenbezogene Daten gespeichert werden, erfolgt auch hier eine tägliche Datensicherung. Die Backups werden für 14 Tage aufbewahrt. Eine Ausnahme bilden Gutschein-Codes, die aufgrund des Datenumfangs wöchentlich in ein Backup überführt werden.

Entwicklung

Entwicklungsprozess

Die Entwicklung der LoyJoy Cloud Platform basiert auf der SCRUM-Methodik. Neue Features und Code-Anpassungen werden in Sprints von ca. 2 Wochen entwickelt. Gemäß Test-Driven Development (TDD) und Continuous Integration (CI) basiert der Entwicklungsprozess auf einer automatisierten Testsuite, die nach jedem Push in die Versionskontrolle durch Git-Push ausgeführt wird. Die Versionskontrolle basiert auf Git. Der Zugriff auf das Git-Repository basiert auf der Zwei-Faktor-Authentifizierung (2FA).

Die Entwicklung von Funktionen und Codeanpassungen erfolgt durch Entwickler in Branches. Branches werden über Pull-Requests mit dem Main-Branch zusammengeführt. Jeder Pull-Request wird einem Peer-Review unterzogen, bevor er in den Main-Branch integriert wird.

Freigabeprozess

Ein neues Release kann ein- oder zweimal im Monat bereitgestellt werden. Releases werden vom Entwicklungsleiter, meist CTO, zusammengestellt. Nur der CTO und ein weiterer Entwickler haben Zugriff auf die Produktionsumgebung und können somit Releases bereitstellen. Der Zugriff auf die Produktionsumgebung erfolgt über eine Zwei-Faktor-Authentifizierung (2FA).

LoyJoy-Infrastruktur

LoyJoy verfügt über grundlegende Sicherheitsmaßnahmen wie Änderungsmanagement, Schutz vor Malware, Datensicherung und -wiederherstellung, Härtung, Patch-Management, Schwachstellenmanagement und Verschlüsselung. Für diese Prozesse werden Richtlinien und Verfahren definiert.

IT-Notfallmanagement

Um die Kontinuität der Leistungserbringung zu gewährleisten, wird der überwiegende Teil der Geschäftsabläufe von LoyJoy über Managed Services (PaaS) in der Google Cloud Platform umgesetzt. Bei Software- und Hardwareausfällen, die über Change Requests hinausgehen, erfolgt in der Regel automatisch eine Reaktion der Google Cloud Platform. Ausfälle im Rahmen von Change Requests werden von der Geschäftsführung überwacht.

Physischer Schutz und umgebungsbezogene Sicherheit für IT-Geräte

LoyJoy nutzt die Infrastruktur der Google Cloud Platform, die physischen Schutz und umgebungsbezogene Sicherheit für IT-Geräte bietet. Dazu gehört die Sicherung von Versorgungseinrichtungen wie Strom und Klima.

LoyJoy nutzt Apple Business Essentials in Verbindung mit JAMF Now für das Asset-Management. Das Mobile-Device-Management nutzt die von Apple bereitgestellten Schnittstellen zur Remote-Geräteverwaltung.

Zugriffsverwaltung

LoyJoy verwendet ein rollenbasiertes Sicherheitssystem und eine Zwei-Faktor-Authentifizierung (2FA) für den logischen Zugriff und den Zugriff auf die Plattform. Die Büroräume sind abschließbar und Besucher sind nur in Begleitung von Mitarbeitern gestattet.

IT-Betriebsprozess

Die IT-Betriebsprozesse bei LoyJoy basieren auf ITIL. Dazu gehören Kapazitätsmanagement, Verfügbarkeitsmanagement, Änderungsmanagement, Release- und Bereitstellungsmanagement, Vorfallmanagement und Problemmanagement.

Beschaffung, Entwicklung und Wartung von Systemen

Systeme werden in folgenden Bereichen eingesetzt:

  • Server (Hardware und Software): Die für die Produktion von LoyJoy verwendete Hardware wird vollständig von der Google Cloud Platform verwaltet. Auch die verwendete Software inklusive Betriebssystem wird vollständig von der Google Cloud Platform verwaltet. Lediglich LoyJoys eigener Code für die LoyJoy-Cloud-Plattform wird vom DevOps-Team primär in Form von Docker-Containern verwaltet.
  • Workstations (Hardware und Software): Macs dienen als Workstations und ihre Software wird von MDM verwaltet. Die Hardware wird von Apple oder von Apple zertifizierten Anbietern bezogen.

Schwachstellen- und Bedrohungsmanagement

LoyJoy verfügt über ein Schwachstellen- und Bedrohungsmanagementsystem auf mehreren Ebenen. Auf der Entwicklungsseite werden Abhängigkeiten kontinuierlich auf Schwachstellen überwacht und dem Entwicklungsteam per E-Mail gemeldet. Auf der operativen Seite werden die Datenzugriffe in Mandanten protokolliert und bei einer ungewöhnlichen Konzentration der Datenzugriffe eine E-Mail versendet.

Zero Trust

Die LoyJoy Cloud Platform setzt nicht auf VPN- oder IP-Adresszugriffskontrolle, sondern wendet stattdessen eine Zero-Trust-Strategie an (vgl. M-22-09 Federal Zero Trust-Strategie). Daher müssen alle Endpunkte der LoyJoy Cloud Platform gehärtet werden, damit nur autorisierte Benutzer auf Daten und Dienste zugreifen können.

Logische Trennung

Die Entwicklungsumgebung ist strikt von der Produktionsumgebung getrennt. Somit haben Entwickler mit Ausnahme des CTO und eines weiteren Entwicklers keinen Zugriff auf die Produktionsumgebung. Stattdessen können alle Entwickler auf eine Staging-Umgebung zugreifen, die jedoch keine Produktionsdaten enthält.

Kennwortrichtlinie

Für Anwendungen, die bei LoyJoy verwendet werden, erzwingen wir sichere Passwörter. Um die Anwendung nutzen zu können, müssen die ursprünglichen Passwörter geändert werden.

Antiviren-/Malware-Schutz

Firmengeräte sind ausschließlich Macs. Alle Macs sind mit XProtect Malware Protection ausgestattet.

Bring Your Own Device

Mitarbeiter, die potenziell oder tatsächlich mit Kundendaten umgehen, dürfen ausschließlich Firmenhardware nutzen.

Mobiles Gerätemanagement (MDM)

Alle Unternehmensgeräte sind mit einer Mobile Device Management Software (MDM) ausgestattet. Der Zugriff auf die Geräte erfordert eine PIN oder Passworteingabe.

Geräteverschlüsselung

Alle Unternehmensgeräte verfügen über eine vom Betriebssystem bereitgestellte obligatorische Geräteverschlüsselung.

Sicheres WLAN

Es werden ausschließlich verschlüsselte WLAN-Netze (mindestens WPA2) genutzt.

Firewall

Cloud-Produktionsserver werden durch ein Cloud-Firewall-System geschützt.

Spam-Filter

Obligatorisch integrierter SPAM-Filter für alle Firmen-Posteingänge.

Patchmanagement

Patches und Updates werden automatisch für die LoyJoy-Infrastruktur angewendet. Automatisierte Updates sind auf den Geräten der Mitarbeiter aktiviert. Die Wirksamkeit wird regelmäßig überprüft.

Mobiler Datenträger (Festplatten, USB-Geräte)

Die Festplattenverschlüsselung ist auf allen Mitarbeitergeräten aktiviert. Die Mitarbeiter sind angewiesen, keine Datenträger wie USB-Sticks oder externe Festplatten zu verwenden.

Admin-Audit-Protokolle

Admin-Aktivitäten in den Infrastruktursystemen werden gespeichert und archiviert.

Löschkonzept zur Datenlöschung und Entsorgung von Datenträgern und Geräten

Für alle ruhenden Daten gibt es automatische Ablaufdaten zwischen 7 und maximal 720 Tagen. Der Kunde entscheidet, welche Daten wie lange gespeichert werden. Kundendaten werden mit AES-Verschlüsselung verschlüsselt. Offsite-Backups werden auf ausgewählten verschlüsselten Geräten gespeichert, die unter der Aufsicht des Managements stehen.

Prozess zur Sicherstellung der Einhaltung von Aufbewahrungs- und Löschfristen

Die Löschung erfolgt durch einen automatisierten Prozess. Das Löschdatum (expires_at) ist bereits bei der Erstellung zwingend festgelegt.

Penetrationstests

Der letzte externe Pentest wurde im Jahr 2024 durchgeführt und erfolgreich bestanden. Das Zertifikat stellen wir gerne auf Anfrage zur Verfügung.

Zugriffsberechtigung

Die Zugriffsberechtigung für Mitarbeiter erfolgt nach dem Prinzip der geringsten Rechte. Dies wird durch Rollen und eine begrenzte Gruppe von Mitarbeitern mit Zugriffsrechten auf die LoyJoy-Infrastruktur ermöglicht. Die Zugriffsrechte für die LoyJoy-Plattform werden von den Mandanten-Administratoren verwaltet. Die Zugangsberechtigungen der Mitarbeiter werden in regelmäßigen Abständen auf ihre Erforderlichkeit überprüft.

Fernzugriff

Es gibt keine Software für den Fernzugriff.

Notfall- und Wiederherstellungspläne

Aus Sicherheitsgründen setzt LoyJoy ausschließlich auf verwaltete Cloud-Umgebungen (PaaS). Verbleibende Risiken werden dadurch gemindert, dass immer mindestens ein Mitarbeiter mit der Qualifikation und Berechtigung zur Bergung in Bereitschaft ist.

LoyJoy-Plattform

Rollenbasierte Sicherheit

Mit der LoyJoy Cloud Platform kann jeder Mandant einen oder mehrere Benutzer haben und jeder Benutzer kann einem oder mehreren Mandanten als Mitglied zugewiesen werden. Jede Mitgliedschaft eines Benutzers in einem Mandanten wird mit einer Benutzerrolle in diesem bestimmten Mandanten angegeben. Mögliche Benutzerrollen, wie sie von der LoyJoy Cloud Platform bereitgestellt werden, sind:Editor, Knowledge, Owner, Revision, Support, Translator, und Viewer.

  • Editor: Kann Erfahrungen, Home-Ansichten und Wissensdaten bearbeiten.
  • Wissen: Kann Wissensdaten hinzufügen und bearbeiten, die für Suche und KI verwendet werden.
  • Inhaber: Kann alles tun, was ein Redakteur kann, sowie den Mandanten verwalten, einschließlich der Benutzerverwaltung.
  • Revision: Kann alles anzeigen, aber keine Änderungen anwenden.
  • Support: Kann am Live-Chat teilnehmen.
  • Übersetzer: Kann nur Erfahrungstexte ansehen und bearbeiten.
  • Betrachter: Kann nur Analysedaten anzeigen.

Benutzerzugriff

Die LoyJoy Cloud Platform bietet Benutzern zwei Authentifizierungsmodi. (1) Benutzer können sich mit einem Magic Link, der per E-Mail an die E-Mail-Adresse des Benutzers gesendet wird, beim LoyJoy Cloud Manager anmelden. (2) Benutzer können sich mit einem FIDO2-Hardware-Token (z. B. YubiKey) beim LoyJoy Cloud Manager anmelden. Der letztgenannte Ansatz wird dringend empfohlen und stellt nach dem aktuellen Stand der Technik den sichersten Ansatz zur Sicherung von Benutzerkonten dar.

Protokollierung, Überwachung, Alarmierung

Bei der LoyJoy Cloud Platform gibt es zwei Arten von Logs. (1) Einerseits ist ein systemweites Protokollierungssystem vorhanden, das von LoyJoy-Mitarbeitern mit Zugriff auf die Produktionsumgebung überwacht wird. (2) Andererseits wird jedem Kunden ein eigenes Protokollierungssystem zur Verfügung gestellt, auf das Benutzerrollen Eigentümer und Editor zugreifen können.

Mit dem systemweiten Protokollierungssystem werden LoyJoy-Mitarbeiter bei technischen Vorfällen automatisch per E-Mail benachrichtigt. Im Gegensatz dazu kann das mandantenweite Protokollierungssystem Benutzer optional über Vorfälle wie API-Fehler informieren, wenn sie sich dafür entscheiden, solche Benachrichtigungen zu abonnieren.

Incident Management

LoyJoy verwendet einen Incident-Management-Prozess, der auf Git-Tools basiert, um Probleme zu erfassen, zu melden und zu lösen.

Kennwortrichtlinie

Für die LoyJoy-Plattform verwenden wir keine Passwörter.