Adobe Marketing Cloud: Sicherheit

Adobe Marketing Cloud: Sicherheit Whitepaper
Adobe Marketing Cloud: Sicherheit
Adobe & Sicherheit
Die Sicherheit Ihrer digitalen Erlebnisse ist oberste Priorität für uns bei Adobe. Sicherheit ist ein wichtiger
Bestandteil in unserer internen Software-Entwicklung und in unseren Tools. Außerdem streben wir mit
unseren funktionsübergreifenden Supportteams proaktiven, hochwertigen und präzisen Service bei allen
Sicherheitsaspekten an. Darüber hinaus bleiben wir durch unsere Zusammenarbeit mit Partnern, Entwicklern
und anderen Branchenorganisationen über Best Practices und Trends auf dem neuesten Stand und
integrieren fortlaufend neue Sicherheitsfunktionen in die von uns angebotenen Produkte und Services.
Inhalt
1:Adobe & Sicherheit
1:Organisation
2:Produktentwicklung
3:Schulungen
3:Richtlinien zur
Informationssicherheit
4:Das Adobe Marketing
Cloud-Netzwerk
5:Risiko- und
SchwachstellenManagement
5:Vorgehensweise
bei Problemen und
Benachrichtigung
6:Adobe HostingStandorte
7:Adobe-Standorte
7:Adobe-Mitarbeiter
8:Vertraulichkeit der
Kundendaten
8:Fazit
In diesem Whitepaper werden das proaktive Konzept und Vorgehensweisen beschrieben, die von Adobe
implementiert wurden, um die Sicherheit Ihrer Adobe Marketing Cloud und Ihrer Daten zu erhöhen.
Organisation
Zur Erreichung höchstmöglicher Sicherheit für Produkte und Services koordiniert Adobe alle
Sicherheitsaktivitäten unter dem Chief Security Officer (CSO). Das Büro des CSO steuert alle Initiativen zur
Produkt- und Servicesicherheit und die Implementierung des Adobe Secure Product Lifecycle (SPLC) im
gesamten Unternehmen.
Der CSO verwaltet zudem das Adobe Secure Software Engineering Team (ASSET), ein dediziertes, zentrales
Team von Sicherheitsexperten, die die Teams für Produktsicherheit und Betrieb beraten, einschließlich des
Digital Marketing Information Security Team (DMIST) für die Adobe Marketing Cloud. ASSET-Entwickler
arbeiten mit einzelnen Teams für Produktsicherheit und Betrieb zusammen, um gemeinsam das richtige Maß
an Sicherheit für Produkte und Services zu erreichen, und beraten diese Teams bei Best Practices zum Thema
Sicherheit, um klare und wiederholbare Prozesse für Entwicklung, Bereitstellung, Betrieb und Support
umzusetzen.
Chief Information
Security Officer
Chief Privacy
Officer
Chief Security
Officer
IT-Sicherheit
Proaktiv
Creative
Cloud
Adobe-Sicherheitsorganisation
Reaktiv
Marketing
Cloud
DokumentenServices
Komm.
Verwaltete
Services
Der DMIST-Manager erstellt Steuerelemente, implementiert Prozesse, koordiniert den Support und
überwacht Audits für die Adobe Marketing Cloud.
DMIST gewährleistet die Implementierung geeigneter verwaltungsrelevanter, technischer und physischer
Steuerelemente, um nicht autorisierten Zugriff auf Kundendaten zu verhindern. Mitglieder des DMISTSicherheitsteams erwerben und verlängern regelmäßig ihre Zertifizierungen als Certified Information
Systems Security Professional (CISSP®), eine weltweit anerkannte, unabhängige Sicherheitszertifizierung,
die vom Information Systems Security Certification Consortium, Inc., (ISC)²® erteilt wird. Die Mitglieder
erneuern ihre Zertifizierungen alle drei Jahre. Die Mitglieder des DMIST-Sicherheitsteams haben sich auf
vielerlei Sicherheitsbereiche spezialisiert, darunter Risiko- und Schwachstellen-Management,
Netzwerksicherheit, Überwachung, Audits, Compliance und Anwendungssicherheit.
Produktentwicklung
Wie bei anderen Adobe-Produkt- und -Service-Organisationen setzt auch die Adobe Digital MarketingOrganisation den Adobe SPLC-Prozess (Software Product Lifecycle) um. Adobe SPLC, ein Set mehrerer
hundert spezifischer Steuerelemente für Sicherheit, die sich über Best Practices, Prozesse und Tools
erstrecken, wird in jede Phase des Produktlebenszyklus integriert, vom Design und der Entwicklung bis hin
zur Qualitätssicherung, Tests und Bereitstellung. Spezifische SPLC-Beratung wird je nach Produkt oder
Service auf Grundlage der konkreten Risikobewertung empfohlen. Der durch die dauerhafte CommunityEinbindung ergänzte Adobe SPLC bleibt bei Änderungen an Technologie, Sicherheitsmaßnahmen und der
Bedrohungslage stets aktuell.
Adobe Secure Product Lifecycle
Zu den Adobe-SPLC Steuerelementen gehören je nach Adobe Marketing Cloud-Service einige oder alle
der folgenden empfohlenen Best Practices, Prozesse und Tools:
• Sicherheitsschulung und Zertifizierung für Produktteams
• Analyse der Produktintegrität, des Risikos und der Bedrohungslage
• Sicher Codierungsrichtlinien, -regeln und -analyse
• Service-Leitfäden, Sicherheits-Tools und Testmethoden, die das Adobe Marketing Cloud-Sicherheitsteam
unterstützen, um die 10 kritischsten Sicherheitslücken in Web-Applikationen laut Open Web Application
Security Project (OWASP) und die 25 gefährlichsten Software-Fehler laut CWE/SANS zu beheben
• Umfassende Prüfung der Sicherheitsarchitektur und Penetrationstests
• Überprüfungen des Quell-Codes, um bei der Eliminierung bekannter Schwachpunkte zu helfen, die zu
Anfälligkeiten führen könnten
• Überprüfung von anwendergenerierten Inhalten
• Statische und dynamische Code-Analyse
• Applikations- und Netzwerk-Scan
• Überprüfung der vollständigen Bereitschaft, Reaktionspläne und die Veröffentlichung von
Entwicklerschulungsmaterialien
Adobe Secure Product Lifecycle (SPLC)
Adobe Marketing Cloud: Sicherheit Whitepaper
2
Produktions- und Entwicklungsumgebungen
Adobe unterhält segmentierte Entwicklungs- und Produktionsumgebungen und verwendet technische
Steuerelemente, um auf Netzwerk- und Anwendungsstufe den Zugang zu Live-Systemen zu begrenzen.
Die Mitarbeiter verfügen über besondere Autorisierungen, um auf Entwicklungs- und Produktionssysteme
zuzugreifen. Adobe erstellt, unterhält und prüft Zugriffsprotokolle für wichtige Systeme, um Transparenz
für die in den Adobe Digital Marketing-Umgebungen durchgeführten Aktionen zu schaffen.
Schulungen
Adobe Software Security Certification Program
Adobe führt fortlaufend Sicherheitsschulungen für Entwicklungsteams durch, um den Wissensstand zum
Thema Sicherheit im gesamten Unternehmen zu verbessern und die Sicherheit unserer Produkte und
Services zu optimieren. Mitarbeiter, die am Adobe Software Security Certification Program teilnehmen,
erreichen verschiedene Zertifizierungsstufen, indem Sie Sicherheitsprojekte absolvieren.
Das Programm umfasst vier Stufen, die jeweils von einem farbigen Gürtel gekennzeichnet werden: weiß,
grün, braun und schwarz. Die weiße und die grüne Stufe werden durch Absolvieren einer Computerbasierten Schulung erreicht. Für die Stufen Braun und Schwarz müssen monate- oder jahrelange
praktische Sicherheitsprojekte durchgeführt werden. Mitarbeiter mit braunem oder schwarzem Gürtel
werden Sicherheitsexperten innerhalb ihrer Produktteams. Adobe aktualisiert die Schulungen jährlich, um
neue Bedrohungen und Software-Sprachen widerzuspiegeln.
Adobe Software Security Certification Program
Das Adobe Marketing Cloud-Sicherheitsteam führt zudem jährlich und bei Bedarf spezifische
Sicherheitsschulungen auf Abteilungsebene (z. B. Netzwerkabläufe, Technik und Kundenservices) durch.
Schulungen im Sicherheitsbewusstsein
Adobe-Mitarbeiter absolvieren Schulungen im Sicherheitsbewusstsein als Teil des Fortbildungsangebots.
Zudem nehmen Mitarbeiter von Adobe Digital Marketing an internen Seminaren zum
Sicherheitsbewusstsein und anderen Aktivitäten teil, um das Bewusstsein zu schärfen, wie sich die
Sicherheit auf ihre spezifischen Rollen in der Organisation und im Unternehmen als Ganzes auswirkt.
Richtlinien zur Informationssicherheit
Mit der Norm ISO 27001 als Grundlage implementiert Adobe umfangreiche, unternehmensweite
Richtlinien zur Informationssicherheit, um interne Unternehmensdaten und die Daten unserer Kunden zu
schützen. Jede Richtlinie muss von der Führungsebene genehmigt werden:
• Allgemeine Richtlinie zur Informationssicherheit
• Richtlinie zur Netzwerksicherheit
• Richtlinie für Nutzung von Remote-Zugriff und Telekommunikation
• Richtlinie zur elektronischen Kommunikation
• Richtlinie zur eingeschränkten Zugriffsautorisierung
• Richtlinie für die Anmelde-ID und das Kennwort
• Prinzipien der Unternehmensführung
Adobe Marketing Cloud: Sicherheit Whitepaper
3
Für Adobe Marketing Cloud-Services definiert das Unternehmen die folgenden Richtlinien und
Verfahrensweisen:
• Datenschutzstandards von Adobe Digital Marketing
•Authentifizierungsstandards
• Standards für Verschlüsselung und sichere Kommunikation
• Verfahrensweisen zum Überschreiben von Daten
• Vorgehensweisen von InfoSec bei Problemen
• Verfahren für den Live-Netzwerkzugriff
• Standards zu persönlichen Informationen
• Standards zur physischen Sicherheit
• Standards zur Verwaltung von Sicherheitslücken
Das Adobe Marketing Cloud-Netzwerk
Die Sicherheit des Netzwerks ist von großer Bedeutung für uns, da die Datenerfassung, Bereitstellung der
Dateninhalte und das Reporting über das Adobe Marketing Cloud-Netzwerk durchgeführt werden. Die
Netzwerkarchitektur implementiert branchenübliche Vorgehensweisen für die Konzipierung der
Sicherheit, wie etwa die Segmentierung der Entwicklungs- und Produktionsebene, DMZ-Segmente,
„Bastion Hosts” und eindeutige Authentifizierung.
Kennwortgeschützter Benutzerzugriff
Für den Zugriff auf Adobe Marketing Cloud-Services ist eine Authentifizierung mit Benutzername und
Kennwort erforderlich. Für die Services, die derzeit Adobe-IDs verwenden, nutzt Adobe den SHA 256
Hash-Algorithmus zusammen mit Kennwort-Salts und einer großen Anzahl an Hash-Iterationen. Wir
arbeiten ständig mit unseren Entwicklungsteams an der Implementierung neuer Schutzmechanismen auf
Grundlage sich entwickelnder Authentifizierungsstandards.
Sichere Verwaltung
Adobe stellt dedizierte Netzwerkverbindungen von unseren Unternehmensbüros zu unseren
Rechenzentren bereit, um die sichere Verwaltung der Adobe Marketing Cloud-Server zu gewährleisten.
Alle Verwaltungsverbindungen zu unseren Servern erfolgen über verschlüsselte Kanäle mit Secure Shell
(SSH), Secure Sockets Layer (SSL) oder Virtual Private Network (VPN). Remote-Zugriff erfordert stets eine
zweistufige Authentifizierung. Adobe erlaubt keinen Verwaltungszugriff über das Internet, solange die
Verbindung nicht von einer Liste vertrauenswürdiger IP-Adressen ausgeht.
Firewalls und Lastenausgleich
Die in das Adobe Marketing Cloud-Netzwerk implementierten Firewalls verweigern sämtliche InternetVerbindungen bis auf die über zulässige Ports: Port 80 für HTTP und Port 443 für HTTPS. Die Firewalls
führen auch eine Netzwerkadressenübersetzung (Network Address Translation; NAT) durch. NAT verbirgt
die echte IP-Adresse eines Servers vor dem Client, der die Verbindung dazu herstellt. Von den
Lastenausgleichsstellen werden eingehende HTTP/HTTPS-Verbindungen weitergeleitet und auch
Anfragen verteilt, die dem Netzwerk das Abwickeln vorübergehender Lastspitzen ohne
Serviceunterbrechung ermöglichen. Adobe implementiert vollständig redundante Firewalls und
Lastenausgleichsstellen und verringert dadurch die Wahrscheinlichkeit, dass ein einzelner Gerätefehler
den Datenverkehr unterbrechen kann.
Nicht weiterleitbare private Adressierung
Adobe verwaltet alle Server, die Kundendaten enthalten, auf Servern mit nicht weiterleitbaren IP-Adressen
(RFC 1918). In Kombination mit Adobe Marketing Cloud-Firewalls und NAT helfen diese privaten Adressen
zu verhindern, dass ein einzelner Server im Netzwerk direkt über das Internet adressiert wird, und
reduzieren dadurch die möglichen Angriffsvektoren erheblich.
Intrusion-Detection
Adobe stellt Sensoren für ein Angriffserkennungssystem (Intrusion Detection System; IDS) an wichtigen
Punkten im Adobe Marketing Cloud-Netzwerk bereit, um nicht autorisierte Zugriffsversuche auf das
Netzwerk zu erkennen und unserem Sicherheitsteam zu melden. Das Sicherheitsteam ergreift bei
Benachrichtigungen wegen eines Angriffs Maßnahmen, indem es die Benachrichtigung prüft und die
Zielplattform auf Hinweise auf eine Gefährdung prüft. Adobe aktualisiert regelmäßig alle Sensoren und
überwacht sie, um einen angemessenen Betrieb zu gewährleisten.
Adobe Marketing Cloud: Sicherheit Whitepaper
4
Service-Überwachung
Adobe überwacht alle unsere Server, Router, Switches, Lastenausgleichsstellen und andere wichtige
Komponenten im Adobe Marketing Cloud-Netzwerk rund um die Uhr (24 x 7 x 365). Das Adobe Network
Operations Center (NOC) erhält Benachrichtigungen von den verschiedenen Überwachungssystemen und
versucht sofort, ein Problem zu beheben oder das Problem an die entsprechenden Adobe-Mitarbeiter zu
eskalieren. Außerdem schließt Adobe Verträge mit mehreren Drittanbietern, um eine externe
Überwachung durchzuführen.
Backups
Kundendaten für jedes Produkt in unserer zentralen Adobe Marketing Cloud-Produktlinie werden durch
die Erstellung von „Snapshots” täglich gesichert. Jeder Snapshot wird sieben Tage lang gespeichert. Die
Kombination von Backup-Verfahren ermöglicht eine schnelle Wiederherstellung von kurzfristigen
Sicherungen sowie den Offsite-Schutz von Daten.
Change-Management
Adobe verwendet ein Änderungsverwaltungssystem zur Planung von Änderungen, zur Förderung der
Kommunikation zwischen Teams mit denselben Ressourcenabhängigkeiten und zur Information
relevanter Parteien über bevorstehende Änderungen. Adobe verwendet das
Änderungsverwaltungssystem außerdem zur Planung von Wartungsausfällen, um dabei Zeiträume mit
hohem Netzwerkdatenverkehr zu vermeiden.
Patch-Management
Zur Automatisierung der Patch-Verteilung an Host-Computer in der Adobe Marketing Cloud-Organisation
verwendet Adobe interne Patch- und Paket-Repositories sowie branchenübliche Patch- und
Konfigurationsverwaltungs-Tools. Je nach Rolle des Hosts und Bedeutung der ausstehenden Patches
verteilt Adobe Patches an Hosts bei der Bereitstellung und im Rahmen eines regelmäßigen PatchZeitplans. Bei Bedarf veröffentlicht Adobe kurzfristig Notfall-Patches.
Zugriffskontrolle
Nur autorisierte Benutzer im Adobe-Intranet oder Remote-Benutzer, die den mehrstufigen
Authentifizierungsprozess zum Herstellen einer VPN-Verbindung abgeschlossen haben, können auf
Verwaltungs-Tools zugreifen. Außerdem protokolliert Adobe alle Verbindungen der Adobe Marketing
Cloud-Produktions-Server für Auditing-Zwecke.
Forensische Analyse
Adobe hält sich an den forensischen Analyseprozess, der eine vollständige Bilderfassung, sichere
Aufbewahrung von Beweisen und die Protokollierung der „Chain of Custody” umfasst. Adobe behält sich
die Einschaltung der Strafverfolgungsbehörden vor, wenn Situationen eine genauere Untersuchung oder
eine strafrechtliche Verfolgung erfordern.
Risiko- und Schwachstellen-Management
Prüfungen
Adobe führt interne Prüfungen durch und arbeitet mit Drittanbietern, die als zusätzliche Kontrolle der
Richtlinien, Vorgehensweisen und Steuerelemente, die in das Adobe Marketing-Cloud Netzwerk
implementiert sind, Sicherheitsprüfungen durchführen. Diese Prüfungen werden auf Unternehmensebene,
Produktebene oder im Hinblick auf erkannte konkrete Bedrohungen durchgeführt.
Penetrationstests
Adobe beauftragt Drittanbieter mit Penetrationstests, die potenzielle Schwachstellen im Sicherheitskonzept
aufdecken und die Sicherheit von Adobe-Produkten und -Services insgesamt verbessern. Die Drittanbieter
führen die Tests Best Practices durch. Bei Empfang des vom Drittanbieter bereitgestellten Berichts
dokumentiert Adobe diese Schwachstellen, bewertet den Grad und die Prioritäten anhand interner Prozesse,
die Branchenstandards entsprechen, wie etwa dem Common Vulnerability Scoring System (CVSS), und
erstellt dann eine Problembehebungsstrategie oder einen Maßnahmenplan. Ein Kunde kann auf schriftliche
Anfrage und unter Geheimhaltung eine Information über den Abschluss des Tests erhalten, die
Informationen über die angewendeten Testmethoden und eine Übersicht über die Erkenntnisse enthält.
Vorgehensweise bei Problemen und Benachrichtigung
Schwachstellen und Bedrohungen entstehen jeden Tag. Adobe möchte neu erkannte Bedrohungen
möglichst schnell eliminieren. Adobe abonniert Schwachstellenlisten der Branche wie US-CERT, Bugtraq
und SANS sowie die neuesten Sicherheitshinweise von den wichtigsten Sicherheitsanbietern.
Adobe Marketing Cloud: Sicherheit Whitepaper
5
Wann immer eine bekanntgegebene Schwachstelle Auswirkungen auf das Adobe Marketing CloudNetzwerk haben könnte, generiert das DMIST-Sicherheitsteam eine angepasste CVSS-Bewertung für die
Umgebung, um die entsprechende Bedrohungsstufe und -priorität zu ermitteln. Anschließend gibt das
Team die Schwachstelle an die entsprechenden Teams in der Adobe Marketing Cloud-Organisation weiter,
um die Vorgehensweise zur Problembehebung zu koordinieren.
Vorgehensweise bei Problemen
Bei Cloud-basierten Services von Adobe, wie Adobe Marketing Cloud, sind die Vorgehensweise bei
Problemen, die Entscheidungsfindung und die externe Überwachung in unserem Security Coordination
Center (SCC) zentralisiert. So wird funktionsübergreifende Konsistenz und eine schnelle Behebung von
Problemen erreicht.
Wenn ein Problem mit einem Adobe-Produkt oder -Service auftritt, arbeitet das SCC mit den beteiligten
Adobe Product Incident Response- und Entwicklungsteams an der schnellstmöglichen Erkennung,
Milderung und Behebung des Problems anhand des folgenden bewährten Vorgangs:
• Status der Schwachstelle bewerten
• Risiko in Produktions-Services mildern
• Beschädigte Knoten in Quarantäne verschieben, untersuchen und zerstören (nur bei Cloud-basierten
Services)
• Einen Fix für die Schwachstelle entwickeln
• Den Fix bereitstellen, um das Problem einzudämmen
• Aktivitäten überwachen und die Lösung prüfen
• Forensische Analyse durchführen, um die Ursache zu ermitteln und zu eliminieren
Adobe Hosting-Standorte
Physische Gebäudesicherheit
Sämtliche Hardware in Hosting-Gebäuden, die im Besitz von Adobe sind oder von Adobe gemietet wurden,
ist physisch gegen nicht autorisierten Zugriff gesichert. Sämtliche Gebäude, die Produktions-Server für die
Adobe Marketing Cloud enthalten, verfügen rund um die Uhr über dediziertes Sicherheitspersonal vor Ort.
Diese Personen benötigen eine Befugnis, um das Gebäude zu betreten. Adobe fordert eine Anmeldung per
PIN oder per Karte und in einigen Fällen beides, um autorisierten Zugang zu den Rechenzentren zu erhalten.
Nur Personen mit Zugangsgenehmigung dürfen das Gebäude betreten. Einige Gebäude verwenden
Schleusen, die verhindern, dass nicht autorisierte Personen dicht hinter autorisierten Personen in das
Gebäude gelangen.
Videoüberwachung
Alle Gebäude, die Produktions-Server für die Adobe Marketing Cloud enthalten, müssen über eine
Videoüberwachung verfügen, um zumindest die Ein- und Ausgänge zu überwachen. Adobe fordert, dass
die Rechenzentren zudem den physischen Zugang zu Geräten überwachen. Adobe kann Videoprotokolle
bei Problemen oder Bedenken überprüfen, um den Zugang zu ermitteln.
Brandschutz
Alle Rechenzentren müssen einen Luftprobennehmer und ein schnelles Rauchmeldesystem betreiben, die
die Hausverwaltung bei ersten Anzeichen eines Feuers alarmieren. Zudem muss in jedem Gebäude eine
Preaction-Trockensprinkleranlage mit doppelter Sperre installiert sein, um zu gewährleisten, dass ohne die
Aktivierung eines Rauchmelders und Hitze kein Wasser in einen Server-Raum gelangt.
Kontrollierte Umgebung
Jedes Rechenzentrumsgebäude muss eine kontrollierte Umgebung ausweisen, einschließlich TemperaturLuftfeuchtigkeitskontrolle und Flüssigkeitserkennung. Adobe fordert eine vollständig redundante Heizung,
Lüftung und Klimaanlage (HVAC) und Gebäudeverwaltungsteams, die täglich rund um die Uhr vor Ort
sind, um mögliche Probleme zu beheben. Falls die Umgebungsparameter sich außerhalb der definierten
Grenzen befinden, werden Adobe und das Network Operations Center (NOC) des Gebäudes darüber
informiert.
Stromversorgung
Mehrere Energiequellen von unabhängigen Stromverteilungseinheiten gewährleisten die dauerhafte
Stromzufuhr in jedem Rechenzentrum, das sich im Besitz von Adobe befindet oder von Adobe gemietet
wurde. Adobe fordert ebenso die automatische Umstellung von primärer auf Backup-Stromzufuhr, und
dass diese Umstellung ohne Serviceunterbrechung erfolgt. Adobe fordert von jedem Rechenzentrum
Redundanz auf allen Ebenen, einschließlich Generatoren. Außerdem muss jedes Gebäude regelmäßige
Tests seiner Generatoren unter Belastung durchführen, um die Funktionstüchtigkeit der Geräte zu
gewährleisten.
Adobe Marketing Cloud: Sicherheit Whitepaper
6
Adobe-Standorte
Adobe unterhält Büros auf der ganzen Welt und implementiert die folgenden Prozesse und
Vorgehensweisen im ganzen Unternehmen, um das Unternehmen vor Sicherheitsbedrohungen zu
schützen:
Physische Sicherheit
Jeder Unternehmensstandort von Adobe wird täglich rund um die Uhr von Wachpersonal geschützt.
Adobe-Mitarbeiter tragen eine Schlüsselkarte mit ID für den Zugang zum Gebäude. Besucher betreten das
Gebäude über den Haupteingang, melden sich an der Rezeption an und ab, zeigen eine vorübergehende
Besucherkarte vor und werden stets von einem Mitarbeiter begleitet. Server-Ausrüstung, EntwicklungsComputer, Telefonsysteme, Datei- und Mailserver sowie andere sensible Systeme sind jederzeit in
kontrollierten Server-Räumen eingeschlossen, die nur von entsprechend autorisiertem Personal betreten
werden dürfen.
Virenschutz
Adobe scannt alle eingehenden und ausgehenden geschäftlichen Mails auf bekannte Bedrohungen durch
Malware.
Adobe-Mitarbeiter
Mitarbeiterzugriff auf Kundendaten
Adobe hilft sicherzustellen, dass nur entsprechend autorisierte Mitarbeiter auf Kundendaten zugreifen
können. Adobe verwendet rollenbasierten Zugriff, um den Mitarbeiterzugriff auf Daten basierend auf die
spezifische Stellenfunktion zu beschränken. Bei Adobe können Mitarbeiter erst nach schriftlicher
Bescheinigung einer ausreichenden geschäftsbezogenen Rechtfertigung und nach erfolgreicher
Hintergrundprüfung auf das Adobe Marketing Cloud-Netzwerk zugreifen. Adobe führt regelmäßige
Überprüfungen der Zugriffsberechtigungen und bei Änderung der Stellenverantwortung durch.
Hintergrundprüfungen
Adobe prüft bei Neueinstellungen den Hintergrund jedes Bewerbers. Struktur und Umfang des Berichts,
den Adobe in der Regel wünscht, umfassen Fragen zum Bildungshintergrund, Arbeitgebern, Gerichtsakten
einschließlich etwaiger Vorstrafen und Referenzen von beruflichen und privaten Kontakten, jeweils im
Rahmen des geltenden Rechts. Diese Anforderungen an die Hintergrundprüfung entsprechen den
geltenden Gesetzen in den USA zur Einstellung neuer Mitarbeiter, einschließlich derer, die Systeme
verwalten oder auf Kundendaten zugreifen. Neue temporäre Mitarbeiter von Agenturen in den USA
unterliegen der Hintergrundprüfung durch die jeweilige Agentur, die gemäß den Richtlinien zur
Hintergrundprüfung von Adobe durchgeführt werden muss. Außerhalb der USA führt Adobe
Hintergrundprüfungen bei bestimmten neuen Mitarbeitern gemäß der Richtlinie zur Hintergrundprüfung
von Adobe und dem im jeweiligen Land geltenden Recht durch.
Kündigung von Mitarbeitern
Falls ein Mitarbeiter bei Adobe kündigt, übermittelt ihm sein Vorgesetzter ein Formular zur Kündigung.
Nach der Genehmigung initiiert Adobe People Resources einen E-Mail-Workflow, um relevante Beteiligte
zu informieren, dass sie spezifische Maßnahmen bis zum letzten Tag des Mitarbeiters ergreifen. Falls
Adobe einen Mitarbeiter kündigt, sendet Adobe People Resources eine ähnliche E-Mail-Benachrichtigung
an die relevanten Beteiligten, einschließlich des genauen Datums und der Uhrzeit der Kündigung des
Mitarbeiters.
Adobe Corporate Security plant dann die folgenden Maßnahmen, um zu gewährleisten, dass der
Mitarbeiter nach dem letzten Beschäftigungstag keinen Zugang mehr zu vertraulichen Akten oder Büros
von Adobe besitzt:
• Löschung des E-Mail-Zugriffs
• Löschung des Remote-VPN-Zugriffs
• Entwertung der Karte für das Büro und das Rechenzentrum
• Beendigung des Netzwerkzugriffs
Auf Anfrage können Vorgesetzte den Sicherheitsdienst bitten, den gekündigten Mitarbeiter aus dem Büro
oder Gebäude von Adobe zu begleiten.
Adobe Marketing Cloud: Sicherheit Whitepaper
7
Vertraulichkeit der Kundendaten
Adobe legt hohen Wert auf die Sicherheit von Kundendaten und behandelt Kundendaten stets vertraulich.
Adobe verwendet die im Namen eines Kunden erfassten Daten nur im Rahmen des mit ihm
abgeschlossenen Vertrags. Weitere Informationen finden Sie in der Adobe-Richtlinie für den Datenschutz
(www.adobe.com/de/privacy/policy.html). Adobe gibt keine Kundendaten weiter, es sei denn, die
Datenschutzrichtlinie von Adobe erlaubt eine Weitergabe oder es erfolgt eine Aufforderung durch das
Unternehmen, das unsere Adobe Marketing Cloud-Services in Anspruch nimmt.
Fazit
Das proaktive Konzept und die strengen Abläufe, die in diesem Dokument beschrieben wurden, haben vor
allem einen Zweck: Schutz Ihrer Adobe Marketing Cloud-Daten. Von unseren strikten Prozessen und Tools
für Software-Entwicklung bis zu funktionsübergreifenden Supportteams hat bei Adobe die Sicherheit von
Digital-Marketing-Daten oberste Priorität.
Adobe Systems GmbH
Georg-Brauchle-Ring 58
D-80992 München
Adobe Systems (Schweiz) GmbH
World Trade Center
Leutschenbachstrasse 95
CH-8050 Zürich
www.adobe.de, www.adobe.at,
www.adobe.ch, www.adobe.com
Änderungen an den Informationen in diesem Dokument vorbehalten. Weitere Informationen zu Adobe-Lösungen und -Kontrollen erhalten Sie bei Ihrem AdobeVertriebsmitarbeiter. Weitere Details zur Adobe-Lösung, einschließlich SLAs, Änderungsgenehmigungsprozessen, Vorgehensweisen zur Zugriffssteuerung und
Notfallwiederherstellungsprozessen sind verfügbar.
Adobe, the Adobe logo, and Adobe Connect are either registered trademarks or trademarks of Adobe Systems Incorporated in the United States and/or other countries.
All other trademarks are the property of their respective owners.
© 2013 Adobe Systems Incorporated. All rights reserved. Printed in Germany.
12/13