Adobe Marketing Cloud: Sicherheit
Werbung
Adobe Marketing Cloud: Sicherheit Whitepaper Adobe Marketing Cloud: Sicherheit Adobe & Sicherheit Die Sicherheit Ihrer digitalen Erlebnisse ist oberste Priorität für uns bei Adobe. Sicherheit ist ein wichtiger Bestandteil in unserer internen Software-Entwicklung und in unseren Tools. Außerdem streben wir mit unseren funktionsübergreifenden Supportteams proaktiven, hochwertigen und präzisen Service bei allen Sicherheitsaspekten an. Darüber hinaus bleiben wir durch unsere Zusammenarbeit mit Partnern, Entwicklern und anderen Branchenorganisationen über Best Practices und Trends auf dem neuesten Stand und integrieren fortlaufend neue Sicherheitsfunktionen in die von uns angebotenen Produkte und Services. Inhalt 1:Adobe & Sicherheit 1:Organisation 2:Produktentwicklung 3:Schulungen 3:Richtlinien zur Informationssicherheit 4:Das Adobe Marketing Cloud-Netzwerk 5:Risiko- und SchwachstellenManagement 5:Vorgehensweise bei Problemen und Benachrichtigung 6:Adobe HostingStandorte 7:Adobe-Standorte 7:Adobe-Mitarbeiter 8:Vertraulichkeit der Kundendaten 8:Fazit In diesem Whitepaper werden das proaktive Konzept und Vorgehensweisen beschrieben, die von Adobe implementiert wurden, um die Sicherheit Ihrer Adobe Marketing Cloud und Ihrer Daten zu erhöhen. Organisation Zur Erreichung höchstmöglicher Sicherheit für Produkte und Services koordiniert Adobe alle Sicherheitsaktivitäten unter dem Chief Security Officer (CSO). Das Büro des CSO steuert alle Initiativen zur Produkt- und Servicesicherheit und die Implementierung des Adobe Secure Product Lifecycle (SPLC) im gesamten Unternehmen. Der CSO verwaltet zudem das Adobe Secure Software Engineering Team (ASSET), ein dediziertes, zentrales Team von Sicherheitsexperten, die die Teams für Produktsicherheit und Betrieb beraten, einschließlich des Digital Marketing Information Security Team (DMIST) für die Adobe Marketing Cloud. ASSET-Entwickler arbeiten mit einzelnen Teams für Produktsicherheit und Betrieb zusammen, um gemeinsam das richtige Maß an Sicherheit für Produkte und Services zu erreichen, und beraten diese Teams bei Best Practices zum Thema Sicherheit, um klare und wiederholbare Prozesse für Entwicklung, Bereitstellung, Betrieb und Support umzusetzen. Chief Information Security Officer Chief Privacy Officer Chief Security Officer IT-Sicherheit Proaktiv Creative Cloud Adobe-Sicherheitsorganisation Reaktiv Marketing Cloud DokumentenServices Komm. Verwaltete Services Der DMIST-Manager erstellt Steuerelemente, implementiert Prozesse, koordiniert den Support und überwacht Audits für die Adobe Marketing Cloud. DMIST gewährleistet die Implementierung geeigneter verwaltungsrelevanter, technischer und physischer Steuerelemente, um nicht autorisierten Zugriff auf Kundendaten zu verhindern. Mitglieder des DMISTSicherheitsteams erwerben und verlängern regelmäßig ihre Zertifizierungen als Certified Information Systems Security Professional (CISSP®), eine weltweit anerkannte, unabhängige Sicherheitszertifizierung, die vom Information Systems Security Certification Consortium, Inc., (ISC)²® erteilt wird. Die Mitglieder erneuern ihre Zertifizierungen alle drei Jahre. Die Mitglieder des DMIST-Sicherheitsteams haben sich auf vielerlei Sicherheitsbereiche spezialisiert, darunter Risiko- und Schwachstellen-Management, Netzwerksicherheit, Überwachung, Audits, Compliance und Anwendungssicherheit. Produktentwicklung Wie bei anderen Adobe-Produkt- und -Service-Organisationen setzt auch die Adobe Digital MarketingOrganisation den Adobe SPLC-Prozess (Software Product Lifecycle) um. Adobe SPLC, ein Set mehrerer hundert spezifischer Steuerelemente für Sicherheit, die sich über Best Practices, Prozesse und Tools erstrecken, wird in jede Phase des Produktlebenszyklus integriert, vom Design und der Entwicklung bis hin zur Qualitätssicherung, Tests und Bereitstellung. Spezifische SPLC-Beratung wird je nach Produkt oder Service auf Grundlage der konkreten Risikobewertung empfohlen. Der durch die dauerhafte CommunityEinbindung ergänzte Adobe SPLC bleibt bei Änderungen an Technologie, Sicherheitsmaßnahmen und der Bedrohungslage stets aktuell. Adobe Secure Product Lifecycle Zu den Adobe-SPLC Steuerelementen gehören je nach Adobe Marketing Cloud-Service einige oder alle der folgenden empfohlenen Best Practices, Prozesse und Tools: • Sicherheitsschulung und Zertifizierung für Produktteams • Analyse der Produktintegrität, des Risikos und der Bedrohungslage • Sicher Codierungsrichtlinien, -regeln und -analyse • Service-Leitfäden, Sicherheits-Tools und Testmethoden, die das Adobe Marketing Cloud-Sicherheitsteam unterstützen, um die 10 kritischsten Sicherheitslücken in Web-Applikationen laut Open Web Application Security Project (OWASP) und die 25 gefährlichsten Software-Fehler laut CWE/SANS zu beheben • Umfassende Prüfung der Sicherheitsarchitektur und Penetrationstests • Überprüfungen des Quell-Codes, um bei der Eliminierung bekannter Schwachpunkte zu helfen, die zu Anfälligkeiten führen könnten • Überprüfung von anwendergenerierten Inhalten • Statische und dynamische Code-Analyse • Applikations- und Netzwerk-Scan • Überprüfung der vollständigen Bereitschaft, Reaktionspläne und die Veröffentlichung von Entwicklerschulungsmaterialien Adobe Secure Product Lifecycle (SPLC) Adobe Marketing Cloud: Sicherheit Whitepaper 2 Produktions- und Entwicklungsumgebungen Adobe unterhält segmentierte Entwicklungs- und Produktionsumgebungen und verwendet technische Steuerelemente, um auf Netzwerk- und Anwendungsstufe den Zugang zu Live-Systemen zu begrenzen. Die Mitarbeiter verfügen über besondere Autorisierungen, um auf Entwicklungs- und Produktionssysteme zuzugreifen. Adobe erstellt, unterhält und prüft Zugriffsprotokolle für wichtige Systeme, um Transparenz für die in den Adobe Digital Marketing-Umgebungen durchgeführten Aktionen zu schaffen. Schulungen Adobe Software Security Certification Program Adobe führt fortlaufend Sicherheitsschulungen für Entwicklungsteams durch, um den Wissensstand zum Thema Sicherheit im gesamten Unternehmen zu verbessern und die Sicherheit unserer Produkte und Services zu optimieren. Mitarbeiter, die am Adobe Software Security Certification Program teilnehmen, erreichen verschiedene Zertifizierungsstufen, indem Sie Sicherheitsprojekte absolvieren. Das Programm umfasst vier Stufen, die jeweils von einem farbigen Gürtel gekennzeichnet werden: weiß, grün, braun und schwarz. Die weiße und die grüne Stufe werden durch Absolvieren einer Computerbasierten Schulung erreicht. Für die Stufen Braun und Schwarz müssen monate- oder jahrelange praktische Sicherheitsprojekte durchgeführt werden. Mitarbeiter mit braunem oder schwarzem Gürtel werden Sicherheitsexperten innerhalb ihrer Produktteams. Adobe aktualisiert die Schulungen jährlich, um neue Bedrohungen und Software-Sprachen widerzuspiegeln. Adobe Software Security Certification Program Das Adobe Marketing Cloud-Sicherheitsteam führt zudem jährlich und bei Bedarf spezifische Sicherheitsschulungen auf Abteilungsebene (z. B. Netzwerkabläufe, Technik und Kundenservices) durch. Schulungen im Sicherheitsbewusstsein Adobe-Mitarbeiter absolvieren Schulungen im Sicherheitsbewusstsein als Teil des Fortbildungsangebots. Zudem nehmen Mitarbeiter von Adobe Digital Marketing an internen Seminaren zum Sicherheitsbewusstsein und anderen Aktivitäten teil, um das Bewusstsein zu schärfen, wie sich die Sicherheit auf ihre spezifischen Rollen in der Organisation und im Unternehmen als Ganzes auswirkt. Richtlinien zur Informationssicherheit Mit der Norm ISO 27001 als Grundlage implementiert Adobe umfangreiche, unternehmensweite Richtlinien zur Informationssicherheit, um interne Unternehmensdaten und die Daten unserer Kunden zu schützen. Jede Richtlinie muss von der Führungsebene genehmigt werden: • Allgemeine Richtlinie zur Informationssicherheit • Richtlinie zur Netzwerksicherheit • Richtlinie für Nutzung von Remote-Zugriff und Telekommunikation • Richtlinie zur elektronischen Kommunikation • Richtlinie zur eingeschränkten Zugriffsautorisierung • Richtlinie für die Anmelde-ID und das Kennwort • Prinzipien der Unternehmensführung Adobe Marketing Cloud: Sicherheit Whitepaper 3 Für Adobe Marketing Cloud-Services definiert das Unternehmen die folgenden Richtlinien und Verfahrensweisen: • Datenschutzstandards von Adobe Digital Marketing •Authentifizierungsstandards • Standards für Verschlüsselung und sichere Kommunikation • Verfahrensweisen zum Überschreiben von Daten • Vorgehensweisen von InfoSec bei Problemen • Verfahren für den Live-Netzwerkzugriff • Standards zu persönlichen Informationen • Standards zur physischen Sicherheit • Standards zur Verwaltung von Sicherheitslücken Das Adobe Marketing Cloud-Netzwerk Die Sicherheit des Netzwerks ist von großer Bedeutung für uns, da die Datenerfassung, Bereitstellung der Dateninhalte und das Reporting über das Adobe Marketing Cloud-Netzwerk durchgeführt werden. Die Netzwerkarchitektur implementiert branchenübliche Vorgehensweisen für die Konzipierung der Sicherheit, wie etwa die Segmentierung der Entwicklungs- und Produktionsebene, DMZ-Segmente, „Bastion Hosts” und eindeutige Authentifizierung. Kennwortgeschützter Benutzerzugriff Für den Zugriff auf Adobe Marketing Cloud-Services ist eine Authentifizierung mit Benutzername und Kennwort erforderlich. Für die Services, die derzeit Adobe-IDs verwenden, nutzt Adobe den SHA 256 Hash-Algorithmus zusammen mit Kennwort-Salts und einer großen Anzahl an Hash-Iterationen. Wir arbeiten ständig mit unseren Entwicklungsteams an der Implementierung neuer Schutzmechanismen auf Grundlage sich entwickelnder Authentifizierungsstandards. Sichere Verwaltung Adobe stellt dedizierte Netzwerkverbindungen von unseren Unternehmensbüros zu unseren Rechenzentren bereit, um die sichere Verwaltung der Adobe Marketing Cloud-Server zu gewährleisten. Alle Verwaltungsverbindungen zu unseren Servern erfolgen über verschlüsselte Kanäle mit Secure Shell (SSH), Secure Sockets Layer (SSL) oder Virtual Private Network (VPN). Remote-Zugriff erfordert stets eine zweistufige Authentifizierung. Adobe erlaubt keinen Verwaltungszugriff über das Internet, solange die Verbindung nicht von einer Liste vertrauenswürdiger IP-Adressen ausgeht. Firewalls und Lastenausgleich Die in das Adobe Marketing Cloud-Netzwerk implementierten Firewalls verweigern sämtliche InternetVerbindungen bis auf die über zulässige Ports: Port 80 für HTTP und Port 443 für HTTPS. Die Firewalls führen auch eine Netzwerkadressenübersetzung (Network Address Translation; NAT) durch. NAT verbirgt die echte IP-Adresse eines Servers vor dem Client, der die Verbindung dazu herstellt. Von den Lastenausgleichsstellen werden eingehende HTTP/HTTPS-Verbindungen weitergeleitet und auch Anfragen verteilt, die dem Netzwerk das Abwickeln vorübergehender Lastspitzen ohne Serviceunterbrechung ermöglichen. Adobe implementiert vollständig redundante Firewalls und Lastenausgleichsstellen und verringert dadurch die Wahrscheinlichkeit, dass ein einzelner Gerätefehler den Datenverkehr unterbrechen kann. Nicht weiterleitbare private Adressierung Adobe verwaltet alle Server, die Kundendaten enthalten, auf Servern mit nicht weiterleitbaren IP-Adressen (RFC 1918). In Kombination mit Adobe Marketing Cloud-Firewalls und NAT helfen diese privaten Adressen zu verhindern, dass ein einzelner Server im Netzwerk direkt über das Internet adressiert wird, und reduzieren dadurch die möglichen Angriffsvektoren erheblich. Intrusion-Detection Adobe stellt Sensoren für ein Angriffserkennungssystem (Intrusion Detection System; IDS) an wichtigen Punkten im Adobe Marketing Cloud-Netzwerk bereit, um nicht autorisierte Zugriffsversuche auf das Netzwerk zu erkennen und unserem Sicherheitsteam zu melden. Das Sicherheitsteam ergreift bei Benachrichtigungen wegen eines Angriffs Maßnahmen, indem es die Benachrichtigung prüft und die Zielplattform auf Hinweise auf eine Gefährdung prüft. Adobe aktualisiert regelmäßig alle Sensoren und überwacht sie, um einen angemessenen Betrieb zu gewährleisten. Adobe Marketing Cloud: Sicherheit Whitepaper 4 Service-Überwachung Adobe überwacht alle unsere Server, Router, Switches, Lastenausgleichsstellen und andere wichtige Komponenten im Adobe Marketing Cloud-Netzwerk rund um die Uhr (24 x 7 x 365). Das Adobe Network Operations Center (NOC) erhält Benachrichtigungen von den verschiedenen Überwachungssystemen und versucht sofort, ein Problem zu beheben oder das Problem an die entsprechenden Adobe-Mitarbeiter zu eskalieren. Außerdem schließt Adobe Verträge mit mehreren Drittanbietern, um eine externe Überwachung durchzuführen. Backups Kundendaten für jedes Produkt in unserer zentralen Adobe Marketing Cloud-Produktlinie werden durch die Erstellung von „Snapshots” täglich gesichert. Jeder Snapshot wird sieben Tage lang gespeichert. Die Kombination von Backup-Verfahren ermöglicht eine schnelle Wiederherstellung von kurzfristigen Sicherungen sowie den Offsite-Schutz von Daten. Change-Management Adobe verwendet ein Änderungsverwaltungssystem zur Planung von Änderungen, zur Förderung der Kommunikation zwischen Teams mit denselben Ressourcenabhängigkeiten und zur Information relevanter Parteien über bevorstehende Änderungen. Adobe verwendet das Änderungsverwaltungssystem außerdem zur Planung von Wartungsausfällen, um dabei Zeiträume mit hohem Netzwerkdatenverkehr zu vermeiden. Patch-Management Zur Automatisierung der Patch-Verteilung an Host-Computer in der Adobe Marketing Cloud-Organisation verwendet Adobe interne Patch- und Paket-Repositories sowie branchenübliche Patch- und Konfigurationsverwaltungs-Tools. Je nach Rolle des Hosts und Bedeutung der ausstehenden Patches verteilt Adobe Patches an Hosts bei der Bereitstellung und im Rahmen eines regelmäßigen PatchZeitplans. Bei Bedarf veröffentlicht Adobe kurzfristig Notfall-Patches. Zugriffskontrolle Nur autorisierte Benutzer im Adobe-Intranet oder Remote-Benutzer, die den mehrstufigen Authentifizierungsprozess zum Herstellen einer VPN-Verbindung abgeschlossen haben, können auf Verwaltungs-Tools zugreifen. Außerdem protokolliert Adobe alle Verbindungen der Adobe Marketing Cloud-Produktions-Server für Auditing-Zwecke. Forensische Analyse Adobe hält sich an den forensischen Analyseprozess, der eine vollständige Bilderfassung, sichere Aufbewahrung von Beweisen und die Protokollierung der „Chain of Custody” umfasst. Adobe behält sich die Einschaltung der Strafverfolgungsbehörden vor, wenn Situationen eine genauere Untersuchung oder eine strafrechtliche Verfolgung erfordern. Risiko- und Schwachstellen-Management Prüfungen Adobe führt interne Prüfungen durch und arbeitet mit Drittanbietern, die als zusätzliche Kontrolle der Richtlinien, Vorgehensweisen und Steuerelemente, die in das Adobe Marketing-Cloud Netzwerk implementiert sind, Sicherheitsprüfungen durchführen. Diese Prüfungen werden auf Unternehmensebene, Produktebene oder im Hinblick auf erkannte konkrete Bedrohungen durchgeführt. Penetrationstests Adobe beauftragt Drittanbieter mit Penetrationstests, die potenzielle Schwachstellen im Sicherheitskonzept aufdecken und die Sicherheit von Adobe-Produkten und -Services insgesamt verbessern. Die Drittanbieter führen die Tests Best Practices durch. Bei Empfang des vom Drittanbieter bereitgestellten Berichts dokumentiert Adobe diese Schwachstellen, bewertet den Grad und die Prioritäten anhand interner Prozesse, die Branchenstandards entsprechen, wie etwa dem Common Vulnerability Scoring System (CVSS), und erstellt dann eine Problembehebungsstrategie oder einen Maßnahmenplan. Ein Kunde kann auf schriftliche Anfrage und unter Geheimhaltung eine Information über den Abschluss des Tests erhalten, die Informationen über die angewendeten Testmethoden und eine Übersicht über die Erkenntnisse enthält. Vorgehensweise bei Problemen und Benachrichtigung Schwachstellen und Bedrohungen entstehen jeden Tag. Adobe möchte neu erkannte Bedrohungen möglichst schnell eliminieren. Adobe abonniert Schwachstellenlisten der Branche wie US-CERT, Bugtraq und SANS sowie die neuesten Sicherheitshinweise von den wichtigsten Sicherheitsanbietern. Adobe Marketing Cloud: Sicherheit Whitepaper 5 Wann immer eine bekanntgegebene Schwachstelle Auswirkungen auf das Adobe Marketing CloudNetzwerk haben könnte, generiert das DMIST-Sicherheitsteam eine angepasste CVSS-Bewertung für die Umgebung, um die entsprechende Bedrohungsstufe und -priorität zu ermitteln. Anschließend gibt das Team die Schwachstelle an die entsprechenden Teams in der Adobe Marketing Cloud-Organisation weiter, um die Vorgehensweise zur Problembehebung zu koordinieren. Vorgehensweise bei Problemen Bei Cloud-basierten Services von Adobe, wie Adobe Marketing Cloud, sind die Vorgehensweise bei Problemen, die Entscheidungsfindung und die externe Überwachung in unserem Security Coordination Center (SCC) zentralisiert. So wird funktionsübergreifende Konsistenz und eine schnelle Behebung von Problemen erreicht. Wenn ein Problem mit einem Adobe-Produkt oder -Service auftritt, arbeitet das SCC mit den beteiligten Adobe Product Incident Response- und Entwicklungsteams an der schnellstmöglichen Erkennung, Milderung und Behebung des Problems anhand des folgenden bewährten Vorgangs: • Status der Schwachstelle bewerten • Risiko in Produktions-Services mildern • Beschädigte Knoten in Quarantäne verschieben, untersuchen und zerstören (nur bei Cloud-basierten Services) • Einen Fix für die Schwachstelle entwickeln • Den Fix bereitstellen, um das Problem einzudämmen • Aktivitäten überwachen und die Lösung prüfen • Forensische Analyse durchführen, um die Ursache zu ermitteln und zu eliminieren Adobe Hosting-Standorte Physische Gebäudesicherheit Sämtliche Hardware in Hosting-Gebäuden, die im Besitz von Adobe sind oder von Adobe gemietet wurden, ist physisch gegen nicht autorisierten Zugriff gesichert. Sämtliche Gebäude, die Produktions-Server für die Adobe Marketing Cloud enthalten, verfügen rund um die Uhr über dediziertes Sicherheitspersonal vor Ort. Diese Personen benötigen eine Befugnis, um das Gebäude zu betreten. Adobe fordert eine Anmeldung per PIN oder per Karte und in einigen Fällen beides, um autorisierten Zugang zu den Rechenzentren zu erhalten. Nur Personen mit Zugangsgenehmigung dürfen das Gebäude betreten. Einige Gebäude verwenden Schleusen, die verhindern, dass nicht autorisierte Personen dicht hinter autorisierten Personen in das Gebäude gelangen. Videoüberwachung Alle Gebäude, die Produktions-Server für die Adobe Marketing Cloud enthalten, müssen über eine Videoüberwachung verfügen, um zumindest die Ein- und Ausgänge zu überwachen. Adobe fordert, dass die Rechenzentren zudem den physischen Zugang zu Geräten überwachen. Adobe kann Videoprotokolle bei Problemen oder Bedenken überprüfen, um den Zugang zu ermitteln. Brandschutz Alle Rechenzentren müssen einen Luftprobennehmer und ein schnelles Rauchmeldesystem betreiben, die die Hausverwaltung bei ersten Anzeichen eines Feuers alarmieren. Zudem muss in jedem Gebäude eine Preaction-Trockensprinkleranlage mit doppelter Sperre installiert sein, um zu gewährleisten, dass ohne die Aktivierung eines Rauchmelders und Hitze kein Wasser in einen Server-Raum gelangt. Kontrollierte Umgebung Jedes Rechenzentrumsgebäude muss eine kontrollierte Umgebung ausweisen, einschließlich TemperaturLuftfeuchtigkeitskontrolle und Flüssigkeitserkennung. Adobe fordert eine vollständig redundante Heizung, Lüftung und Klimaanlage (HVAC) und Gebäudeverwaltungsteams, die täglich rund um die Uhr vor Ort sind, um mögliche Probleme zu beheben. Falls die Umgebungsparameter sich außerhalb der definierten Grenzen befinden, werden Adobe und das Network Operations Center (NOC) des Gebäudes darüber informiert. Stromversorgung Mehrere Energiequellen von unabhängigen Stromverteilungseinheiten gewährleisten die dauerhafte Stromzufuhr in jedem Rechenzentrum, das sich im Besitz von Adobe befindet oder von Adobe gemietet wurde. Adobe fordert ebenso die automatische Umstellung von primärer auf Backup-Stromzufuhr, und dass diese Umstellung ohne Serviceunterbrechung erfolgt. Adobe fordert von jedem Rechenzentrum Redundanz auf allen Ebenen, einschließlich Generatoren. Außerdem muss jedes Gebäude regelmäßige Tests seiner Generatoren unter Belastung durchführen, um die Funktionstüchtigkeit der Geräte zu gewährleisten. Adobe Marketing Cloud: Sicherheit Whitepaper 6 Adobe-Standorte Adobe unterhält Büros auf der ganzen Welt und implementiert die folgenden Prozesse und Vorgehensweisen im ganzen Unternehmen, um das Unternehmen vor Sicherheitsbedrohungen zu schützen: Physische Sicherheit Jeder Unternehmensstandort von Adobe wird täglich rund um die Uhr von Wachpersonal geschützt. Adobe-Mitarbeiter tragen eine Schlüsselkarte mit ID für den Zugang zum Gebäude. Besucher betreten das Gebäude über den Haupteingang, melden sich an der Rezeption an und ab, zeigen eine vorübergehende Besucherkarte vor und werden stets von einem Mitarbeiter begleitet. Server-Ausrüstung, EntwicklungsComputer, Telefonsysteme, Datei- und Mailserver sowie andere sensible Systeme sind jederzeit in kontrollierten Server-Räumen eingeschlossen, die nur von entsprechend autorisiertem Personal betreten werden dürfen. Virenschutz Adobe scannt alle eingehenden und ausgehenden geschäftlichen Mails auf bekannte Bedrohungen durch Malware. Adobe-Mitarbeiter Mitarbeiterzugriff auf Kundendaten Adobe hilft sicherzustellen, dass nur entsprechend autorisierte Mitarbeiter auf Kundendaten zugreifen können. Adobe verwendet rollenbasierten Zugriff, um den Mitarbeiterzugriff auf Daten basierend auf die spezifische Stellenfunktion zu beschränken. Bei Adobe können Mitarbeiter erst nach schriftlicher Bescheinigung einer ausreichenden geschäftsbezogenen Rechtfertigung und nach erfolgreicher Hintergrundprüfung auf das Adobe Marketing Cloud-Netzwerk zugreifen. Adobe führt regelmäßige Überprüfungen der Zugriffsberechtigungen und bei Änderung der Stellenverantwortung durch. Hintergrundprüfungen Adobe prüft bei Neueinstellungen den Hintergrund jedes Bewerbers. Struktur und Umfang des Berichts, den Adobe in der Regel wünscht, umfassen Fragen zum Bildungshintergrund, Arbeitgebern, Gerichtsakten einschließlich etwaiger Vorstrafen und Referenzen von beruflichen und privaten Kontakten, jeweils im Rahmen des geltenden Rechts. Diese Anforderungen an die Hintergrundprüfung entsprechen den geltenden Gesetzen in den USA zur Einstellung neuer Mitarbeiter, einschließlich derer, die Systeme verwalten oder auf Kundendaten zugreifen. Neue temporäre Mitarbeiter von Agenturen in den USA unterliegen der Hintergrundprüfung durch die jeweilige Agentur, die gemäß den Richtlinien zur Hintergrundprüfung von Adobe durchgeführt werden muss. Außerhalb der USA führt Adobe Hintergrundprüfungen bei bestimmten neuen Mitarbeitern gemäß der Richtlinie zur Hintergrundprüfung von Adobe und dem im jeweiligen Land geltenden Recht durch. Kündigung von Mitarbeitern Falls ein Mitarbeiter bei Adobe kündigt, übermittelt ihm sein Vorgesetzter ein Formular zur Kündigung. Nach der Genehmigung initiiert Adobe People Resources einen E-Mail-Workflow, um relevante Beteiligte zu informieren, dass sie spezifische Maßnahmen bis zum letzten Tag des Mitarbeiters ergreifen. Falls Adobe einen Mitarbeiter kündigt, sendet Adobe People Resources eine ähnliche E-Mail-Benachrichtigung an die relevanten Beteiligten, einschließlich des genauen Datums und der Uhrzeit der Kündigung des Mitarbeiters. Adobe Corporate Security plant dann die folgenden Maßnahmen, um zu gewährleisten, dass der Mitarbeiter nach dem letzten Beschäftigungstag keinen Zugang mehr zu vertraulichen Akten oder Büros von Adobe besitzt: • Löschung des E-Mail-Zugriffs • Löschung des Remote-VPN-Zugriffs • Entwertung der Karte für das Büro und das Rechenzentrum • Beendigung des Netzwerkzugriffs Auf Anfrage können Vorgesetzte den Sicherheitsdienst bitten, den gekündigten Mitarbeiter aus dem Büro oder Gebäude von Adobe zu begleiten. Adobe Marketing Cloud: Sicherheit Whitepaper 7 Vertraulichkeit der Kundendaten Adobe legt hohen Wert auf die Sicherheit von Kundendaten und behandelt Kundendaten stets vertraulich. Adobe verwendet die im Namen eines Kunden erfassten Daten nur im Rahmen des mit ihm abgeschlossenen Vertrags. Weitere Informationen finden Sie in der Adobe-Richtlinie für den Datenschutz (www.adobe.com/de/privacy/policy.html). Adobe gibt keine Kundendaten weiter, es sei denn, die Datenschutzrichtlinie von Adobe erlaubt eine Weitergabe oder es erfolgt eine Aufforderung durch das Unternehmen, das unsere Adobe Marketing Cloud-Services in Anspruch nimmt. Fazit Das proaktive Konzept und die strengen Abläufe, die in diesem Dokument beschrieben wurden, haben vor allem einen Zweck: Schutz Ihrer Adobe Marketing Cloud-Daten. Von unseren strikten Prozessen und Tools für Software-Entwicklung bis zu funktionsübergreifenden Supportteams hat bei Adobe die Sicherheit von Digital-Marketing-Daten oberste Priorität. Adobe Systems GmbH Georg-Brauchle-Ring 58 D-80992 München Adobe Systems (Schweiz) GmbH World Trade Center Leutschenbachstrasse 95 CH-8050 Zürich www.adobe.de, www.adobe.at, www.adobe.ch, www.adobe.com Änderungen an den Informationen in diesem Dokument vorbehalten. Weitere Informationen zu Adobe-Lösungen und -Kontrollen erhalten Sie bei Ihrem AdobeVertriebsmitarbeiter. Weitere Details zur Adobe-Lösung, einschließlich SLAs, Änderungsgenehmigungsprozessen, Vorgehensweisen zur Zugriffssteuerung und Notfallwiederherstellungsprozessen sind verfügbar. Adobe, the Adobe logo, and Adobe Connect are either registered trademarks or trademarks of Adobe Systems Incorporated in the United States and/or other countries. All other trademarks are the property of their respective owners. © 2013 Adobe Systems Incorporated. All rights reserved. Printed in Germany. 12/13
