Sicherheit Trust Center

ProcessMaker folgt etablierten Best Practices und Industriestandards, um allgemeine Sicherheits- und Datenschutzanforderungen zu erfüllen. Dieser Ansatz unterstützt unsere Kunden dabei, ihre spezifischen Compliance-Standards zu erfüllen.

Unser Governance-Rahmen gewährleistet eine transparente und verantwortungsvolle Entscheidungsfindung und leitet unsere Organisation zu ethischen und effektiven Praktiken an. Zu den wichtigsten Elementen gehören:

• Führungsstruktur: Klar definierte Rollen und Verantwortlichkeiten für Führungspositionen.
• Richtlinien und Verfahren: Festlegung von dokumentierten Leitlinien für die Entscheidungsfindung und den Betrieb.
• Einhaltung: Einhaltung der geltenden Gesetze, Vorschriften und Branchenstandards.
• Transparenz: Offene Kommunikation und Offenlegung relevanter Informationen für die Beteiligten.
• Rechenschaftspflicht: Sicherstellen, dass Einzelpersonen und Teams für ihre Handlungen und Entscheidungen verantwortlich sind.
• Ethische Praktiken: Aufrechterhaltung moralischer und ethischer Standards in allen Aspekten der Geschäftstätigkeit.
• Risikomanagement: Identifizierung, Bewertung und Abschwächung potenzieller Risiken für die Organisation.
• Einbeziehung von Interessengruppen: Einbindung und Berücksichtigung der Interessen der relevanten Stakeholder.
• Kontinuierliche Verbesserung: Regelmäßige Überprüfung und Verbesserung der Governance-Prozesse auf ihre Wirksamkeit.

Aktualisiert - 12. Januar 2024

Bei ProcessMaker legen wir größten Wert auf die Sicherheit und den Datenschutz unserer KI-Technologien. Durch die Integration von generativer KI halten wir uns an globale Standards zum Schutz von Nutzerdaten und zur Gewährleistung einer ethischen KI-Nutzung. Darüber hinaus haben wir eine interne Richtlinie, die "Generative AI Security Policy", implementiert, die die Verfahren und Kontrollen für die sichere Verwaltung und Integration generativer KI-Technologien in unsere Produkte und Dienstleistungen beschreibt.

Wir befolgen die Rahmenwerke ISO/IEC 27001 und ISO/IEC 42001, um unser ISMS, das in unser KI-Managementsystem integriert ist, einzurichten, zu implementieren und kontinuierlich zu verbessern und so einen sicheren und ethischen KI-Betrieb zu gewährleisten.

Unsere Praktiken umfassen:

• Starke Authentifizierung und Autorisierung: Multi-Faktor-Authentifizierung und strenge Zugangskontrollen.
• Datenschutz: Anonymisierung und sichere Verarbeitung personenbezogener Daten.
• Schwachstellen-Management: Regelmäßiges Scannen und Patchen von Sicherheitslücken.
• Reaktion auf Vorfälle: Umfassende Pläne zur Behebung und Eindämmung von Sicherheitsverletzungen.
• Risikobewertung: Regelmäßige Risikobewertungen zur Ermittlung und Behandlung potenzieller Risiken und Bedenken, um eine sichere und ethische Nutzung zu gewährleisten.

Diese Erklärung spiegelt das Engagement von Processmaker für eine sichere und ethische KI-Integration wider, die sich auf die ISO/IEC 42001 und die OWASP KI-Sicherheitsrichtlinien stützt.

ProcessMaker verwendet die stärksten Verschlüsselungsprodukte, um Kundendaten und -kommunikation zu schützen. Dabei werden der Industriestandard AES-256 Verschlüsselungsalgorithmus und das Transport Layer Security v1.2 Protokoll verwendet.

Verschlüsselung bei der Übermittlung
Alle Interaktionen mit der Benutzeroberfläche (UI) und den APIs von ProcessMaker werden durch die branchenüblichen HTTPS/TLS-Protokolle geschützt, die eine Verschlüsselung (TLS 1.2 oder höher) über öffentliche Netzwerke für eine sichere Datenübertragung gewährleisten. Für E-Mails verwendet unser Produkt standardmäßig opportunistisches TLS, das E-Mails verschlüsselt und sicher überträgt und vor Abhören zwischen Mail-Servern schützt, die dieses Protokoll unterstützen.

Verschlüsselung im Ruhezustand
Service-Daten werden jetzt im Ruhezustand sowohl in AWS als auch in Azure mit AES-256 verschlüsselt. Dadurch wird sichergestellt, dass die Daten vor unbefugtem Zugriff und Verstößen geschützt sind.

Benutzer greifen auf Processmaker nur mit einer gültigen Kombination aus Benutzernamen und Passwort zu, die während der Übertragung über TLS verschlüsselt wird. Ein verschlüsselter Sitzungs-ID-Cookie wird zur eindeutigen Identifizierung jedes Benutzers verwendet. Für zusätzliche Sicherheit wird der Sitzungsschlüssel automatisch verschlüsselt und in regelmäßigen Abständen im Hintergrund neu erstellt.

Process Intelligence verwendet Azure AD Open ID Connect für Single Sign-On (SSO) und Multi-Factor Authentication (MFA). Dies erhöht die Sicherheit, da mehrere Formen der Überprüfung erforderlich sind, bevor der Zugriff auf sensible Daten und Systeme gewährt wird.

Unser robustes Anwendungssicherheitsmodell bewahrt Sitzungen. ProcessMaker verwendet verschiedene Sicherheitstools, um bewährte Sicherheitsverfahren während des gesamten Softwareentwicklungszyklus (SDLC) zu überprüfen.

Innerhalb der Perimeter-Firewalls werden die Systeme durch Netzwerkadressübersetzung, Portumleitung, IP-Masquerading, nicht routingfähige IP-Adressierungsschemata und mehr geschützt. Die spezifischen Details dieser Funktionen sind geschützt.

ProcessMaker setzt eine strenge Sicherheit auf Betriebssystemebene durch, indem es eine minimale Anzahl von Zugangspunkten zu allen Produktionsservern verwendet. Wir schützen alle Betriebssystemkonten mit starken Passwörtern und einer Zwei-Faktor-Authentifizierung. Alle Betriebssysteme werden mit den vom jeweiligen Hersteller empfohlenen Sicherheits-Patches gepflegt und durch Deaktivierung und/oder Entfernung aller unnötigen Benutzer, Protokolle und Prozesse abgesichert.

Wann immer möglich, wird der Datenbankzugriff auf der Ebene des Betriebssystems und der Datenbankverbindung kontrolliert, um zusätzliche Sicherheit zu gewährleisten. Der Zugang zu Produktionsdatenbanken ist auf eine begrenzte Anzahl von Punkten beschränkt, und Produktionsdatenbanken nutzen keine gemeinsame Master-Passwort-Datenbank. Alle Datenbankvolumes sind verschlüsselt.

Alle von einem Kunden in die Processmaker-Anwendung eingegebenen Daten sind Eigentum des Kunden. ProcessMaker-Mitarbeiter haben keinen direkten Zugang zu den ProcessMaker-Produktionsumgebungen, es sei denn, dies ist für Systemmanagement, Wartung, Überwachung und Backups erforderlich.

ProcessMaker unterhält eine öffentlich zugängliche processmaker-status-Webseite, die Details zur Systemverfügbarkeit, zur geplanten Wartung, zum Verlauf von Servicevorfällen und zu relevanten Sicherheitsereignissen enthält.

ProcessMaker nutzt Service-Clustering und Netzwerkredundanzen, um einzelne Ausfallpunkte zu eliminieren. Unser striktes Backup-System und/oder unsere Disaster-Recovery-Übung für ProcessMaker, das in AWS und Azure gehostet wird, ermöglicht es uns, ein hohes Maß an Service-Verfügbarkeit zu liefern, da die Service-Daten über Verfügbarkeitszonen hinweg repliziert werden.

Unsere Disaster-Recovery-Übung für ProcessMaker Hosted in AWS und Azure stellt sicher, dass unsere Dienste im Katastrophenfall verfügbar bleiben und leicht wiederherstellbar sind.
Dies wird durch den Aufbau einer robusten technischen Umgebung, die Erstellung von Disaster-Recovery-Plänen und Testaktivitäten erreicht.

Die ProcessMaker Disaster Recovery Policy, die Teil unseres Business Continuity Programms ist, deckt verschiedene Arten von Katastrophenszenarien ab, darunter:

• Beschädigung von Anwendungsdaten
• Beschädigung der Datenbank
• Probleme bei der Vernetzung
• Komplette Katastrophe

ProcessMaker verfügt über technische Maßnahmen für jede Art von Katastrophe, einschließlich einer vollständigen Systemwiederherstellung, die die Wiederherstellung aller Infrastrukturkomponenten und Kundendaten in einer alternativen AWS-Region umfasst, falls erforderlich.

Im Rahmen des Programms zur Aufrechterhaltung des Geschäftsbetriebs wird einmal im Jahr eine Notfallübung durchgeführt, die den Teilnehmern die Möglichkeit bietet, in der Praxis zu üben, wie sie auf einen Notfall reagieren können, der von kleineren Störungen bis hin zu einem vollständigen Systemausfall reichen kann, und die Gelegenheit bietet, die Notfallstrategie weiter zu verbessern.

Unser Geschäftskontinuitäts- und Notfallwiederherstellungsplan enthält Ziele für die Wiederherstellungszeit (RTO) und den Wiederherstellungspunkt (RPO).

Alle Netzwerkkomponenten, NAT-Instanzen, Load Balancer und Anwendungsserver werden mit Hochverfügbarkeits- und Redundanzfunktionen bereitgestellt. Alle Kundendaten werden auf verschlüsselten, fehlertoleranten Datenträgern gespeichert. Alle Produktionsdatenbankdaten des Kunden werden automatisch bis zur letzten festgeschriebenen Transaktion gesichert, zusammen mit Snapshots, die täglich erstellt und in einem AWS S3-Bucket mit aktivierten Verschlüsselungs- und Georeplikationsfunktionen gespeichert werden.

Processmaker nutzt neben MongoDB Atlas sowohl AWS als auch Azure für unsere Zuverlässigkeits- und Backup-Lösungen. Diese Kombination bietet robuste Sicherungsmechanismen und gewährleistet die Integrität und Verfügbarkeit von Daten in verschiedenen Umgebungen.

• TX-RAMP-Zertifizierung Stufe 2
• ISO 27001:2013-Zertifikate

Ressourcen erhalten

Für die folgenden Ressourcen muss möglicherweise eine NDA-Datei vorliegen. Klicken Sie auf die Schaltfläche, um Zugang zu erhalten.

• SOC 2 Typ II Bericht
• ISO 27001-Bericht
• Zusammenfassung der jährlichen Penetrationstests
• Zusammenfassung des Tests zur Geschäftskontinuität und Wiederherstellung im Katastrophenfall
• Datenverarbeitungsvertrag (DPA)

Ressourcen erhalten

Einrichtungen
ProcessMaker hostet Service-Daten hauptsächlich in AWS- und Azure-Rechenzentren, die nach ISO 27001, PCI DSS Service Provider Level 1 und/oder SOC 2 zertifiziert sind. Erfahren Sie mehr über Compliance bei AWS, Erfahren Sie mehr über Compliance bei Azure.

AWS- und Azure-Infrastrukturservices umfassen eine Notstromversorgung, HLK-Systeme und Feuerlöschanlagen, um Server und letztendlich Ihre Daten zu schützen. Erfahren Sie mehr über Rechenzentrumskontrollen bei AWS, Erfahren Sie mehr über Rechenzentrumskontrollen bei Azure.

Sicherheit vor Ort
Die AWS-Sicherheit vor Ort umfasst Merkmale wie Sicherheitspersonal, Zäune, Sicherheitseinspeisungen, Einbruchserkennungstechnologie und andere Sicherheitsmaßnahmen. Erfahren Sie mehr über die physische Sicherheit von AWS.

ProcessMaker minimiert die mit Drittanbietern verbundenen Risiken, indem es Sicherheitsüberprüfungen bei allen Anbietern durchführt, die in irgendeiner Form Zugriff auf unsere Systeme oder Dienstdaten haben.

System-Überwachung
Unsere Systemüberwachungspraktiken kombinieren native Überwachungstools von Cloud-Anbietern, zentralisierte Lösungen zur Protokollerfassung und Maßnahmen zum Schutz von Endpunkten. Dieser mehrschichtige Ansatz gewährleistet eine umfassende Überwachung und den Schutz unseres Netzwerks und unserer Systeme und nutzt die neuesten Technologien und Tools, die sowohl von AWS als auch von Azure verfügbar sind.

• PI is fully compliant with the General Data Protection Regulation (GDPR). Personal data is hosted securely in Microsoft Azure West Europe and MongoDB Atlas, with strict access controls and encryption practices in place.
• Data collected by the PI platform is anonymized by design, ensuring that no Personally Identifiable Information (PII) is captured or stored unless explicitly configured by the customer.
• Advanced security features, including pseudonymization and encryption (AES-256), protect all data at rest and in transit.

• PI leverages Microsoft Azure and MongoDB to provide highly secure, scalable, and reliable infrastructure.
• All communications are secured using TLS 1.2 or higher, ensuring data integrity and confidentiality during transfers.
• The platform supports Multi-Factor Authentication (MFA) and integrates with Azure AD OpenID Connect for seamless Single Sign-On (SSO) capabilities.

• The PI platform incorporates Privacy by Design and Privacy by Default principles. Data collection is configurable to exclude sensitive information and optimize security for customer-specific needs.
• Robust access control ensures data is accessible only to authorized personnel, with role-based permissions for enhanced security.

• ProcessMaker is certified under ISO 27001 and SOC 2 Type 2. These certifications validate our commitment to maintaining high standards for security, availability, and confidentiality.
• Regular third-party penetration tests and internal security audits are conducted to ensure the platform’s ongoing compliance and resilience.

• Data Encryption: All data is encrypted using Advanced Encryption Standard (AES) 256 for storage and TLS for transmission.
• Environment Separation: PI instances (production, staging, and development) are separated by resource groups, ensuring granular access control.
• Health Monitoring: PI uses a Healthcheck API to continuously monitor agent functionality, license usage, and system performance.
• Incident Response: Security incidents are promptly managed and reported within 12 hours as per GDPR and SOC 2 requirements.

• Customers have full control over data collection settings via the PI Web Dashboard. This includes defining which applications and data points are included in the analysis, as well as the granularity of data collection.
• Data deletion requests and configurations can be managed directly by the customer in compliance with GDPR and other regulatory requirements.

Schulung zu sicherem Code
Im Rahmen unserer Softwareentwicklungspolitik führt Processmaker jährlich ein Secure Code Training für alle Ingenieure durch , basierend auf den OWASP Top 10 Sicherheitsrisiken.

Framework-Sicherheitskontrollen
ProcessMaker nutzt moderne und sichere Open-Source-Frameworks mit Sicherheitskontrollen, um die Gefährdung durch die OWASP Top 10 Sicherheitsrisiken zu begrenzen. Diese inhärenten Kontrollen reduzieren unter anderem die Anfälligkeit für SQL Injection (SQLi), Cross Site Scripting (XSS) und Cross Site Request Forgery (CSRF).

Qualitätssicherung
Unsere Abteilung für Qualitätssicherung (QA) überprüft und testet unsere Codebasis. Engagierte Anwendungssicherheitsingenieure identifizieren, testen und ordnen Sicherheitsschwachstellen im Code ein.

Getrennte Umgebungen
Test- und Staging-Umgebungen sind logisch von der Produktionsumgebung getrennt. In unseren Entwicklungs- und Testumgebungen werden keine Servicedaten verwendet.

ProcessMaker führt jährlich Penetrationstests durch, um potenzielle Schwachstellen zu identifizieren und zu beheben, und unterstreicht damit unser Engagement für die Aufrechterhaltung einer sicheren Plattform. Fordern Sie unsere Zusammenfassung der jährlichen Penetrationstests an.

Richtlinien
ProcessMaker hat eine umfassende Reihe von Sicherheitsrichtlinien entwickelt, die eine Reihe von Themen abdecken. Diese Richtlinien werden allen Mitarbeitern und Auftragnehmern, die Zugang zu ProcessMaker-Informationsbeständen haben, mitgeteilt und zur Verfügung gestellt.

Schulung
Alle Mitarbeiter nehmen an einer Sicherheitsschulung teil, die bei der Einstellung und danach jährlich durchgeführt wird. Alle Ingenieure erhalten eine jährliche Secure Code-Schulung. Das Sicherheitsteam bietet zusätzliche Aktualisierungen des Sicherheitsbewusstseins per E-Mail, in Blogbeiträgen und in Präsentationen bei internen Veranstaltungen.

Hintergrund-Checks
ProcessMaker führt bei allen neuen Mitarbeitern Hintergrundüberprüfungen in Übereinstimmung mit den örtlichen Gesetzen durch. Diese Überprüfungen sind auch für Auftragnehmer erforderlich. Die Hintergrundprüfung umfasst die Überprüfung von Strafrecht, Ausbildung und Beschäftigung. Reinigungskräfte sind eingeschlossen.

Vertraulichkeitsvereinbarungen
Alle neu eingestellten Mitarbeiter müssen Geheimhaltungs- und Vertraulichkeitsvereinbarungen unterzeichnen.

ProcessMaker bietet eine Reihe fortschrittlicher Zugriffs- und Verschlüsselungsfunktionen, die den Kunden helfen, ihre Daten wirksam zu schützen. Wir greifen nicht auf Kundendaten zu oder verwenden sie für andere Zwecke als die Bereitstellung, Wartung und Verbesserung der ProcessMaker-Dienste und soweit dies nach geltendem Recht erforderlich ist.

ProcessMaker hat eine Reihe von international anerkannten Zertifizierungen und Akkreditierungen erhalten, die die Einhaltung von Sicherheitsrahmenwerken Dritter belegen. Die Sicherheitszertifizierungen werden hier beschrieben. Fordern Sie unsere Zertifizierungen an.

ProcessMaker hat eine unternehmensweite Strategie zur Einhaltung der GDPR eingeführt. Unsere Rechts- und Sicherheitsexperten haben die GDPR-Anforderungen gründlich geprüft und sind stets über die sich weiterentwickelnden Best Practices informiert. Wir haben unsere Produkte, Verträge und Richtlinien aktualisiert, um sie mit der GDPR in Einklang zu bringen, und zwar nicht nur, um sie einzuhalten, sondern auch, um unsere Kunden aktiv bei der Einhaltung dieser Standards zu unterstützen. Weitere Informationen über unsere Bemühungen zur Einhaltung der Allgemeinen Datenschutzverordnung (GDPR).

Sie können unsere GDPR-konforme DPA einsehen, ausfüllen und/oder ausführen, indem Sie unser ProcessMaker Customer Data Processing Addendum anfordern.

In diesem Dokument erfahren Sie, wie wir Ihre Daten unter Einhaltung der Datenschutzgesetze erfassen, verwenden und schützen. Wir verpflichten uns, die von uns erfassten Daten transparent zu machen und sicherzustellen, dass sie verantwortungsvoll und sicher behandelt werden. Bitte lesen Sie unsere Datenschutzrichtlinie, um zu verstehen, wie wir Ihre Privatsphäre schützen und Ihnen das Wissen vermitteln, das Sie benötigen, um fundierte Entscheidungen über Ihre Daten auf unserer Plattform zu treffen.

ProcessMaker verwendet Cookies auf unseren Diensten und zugehörigen Websites, um die Funktionalität zu verbessern, Analysen zu erstellen und Präferenzen zu speichern. Diese Cookies, die in Sitzungscookies und dauerhafte Cookies unterteilt sind, sind innerhalb jedes Dienstes oder jeder Website alphabetisch geordnet. Eine kurze Übersicht finden Sie in unserer Cookie-Richtlinie.