Sicherheit
Bei PeopleWeek sind Sicherheit und Datenschutz in allem, was wir tun, fest verankert.
Unsere Sicherheitskultur
Sicherheit ist fest in der Kultur von PeopleWeek verankert. Wir haben organisatorische Prozesse und Kontrollen etabliert, die darauf ausgelegt sind, Kundendaten zu schützen und höchste Standards in Bezug auf Datenschutz und Sicherheit zu gewährleisten.
- Sicherheitsbewusstsein: Alle PeopleWeek-Mitarbeitenden absolvieren bei ihrem Eintritt in das Unternehmen mehrere Schulungen zu IT-Sicherheitsthemen. Anschliessend nehmen sie jährlich an Auffrischungsschulungen und Wissensüberprüfungen teil, um ihr Verständnis der Sicherheitsanforderungen sicherzustellen.
- Kontrollierter Datenzugriff: Support-Teams der Stufe 1 haben keinen Zugriff auf Kundendaten. Der Support der Stufe 2 wird von Mitgliedern des Teams IT-Sicherheit & Datenschutz durchgeführt.
- Eingeschränkter Zugriff auf Produktionsumgebungen: Infrastruktur-Ingenieure können nur über Just-In-Time-(JIT)-Zugriffskontrollen auf Produktionsumgebungen zugreifen.
- Vertrauensvolle Kundenbeziehungen: Unsere Support-Teams pflegen direkte Beziehungen zu Kunden. Dies trägt dazu bei, Risiken bei der Kundenidentifikation zu minimieren und unbefugte Zugriffsversuche zu verhindern.
Darüber hinaus hat das PeopleWeek-Kundensupportteam eine persönliche Beziehung zu unseren Kunden, die in der Regel Mitglieder des HR-Teams sind. Unser Support-Modell ist intim und kein „Call-Center“-Ansatz. Wenn eine Kundenanfrage nicht schnell per E-Mail geklärt werden kann, schalten wir einen Videoanruf ein. Diese Vertrautheit minimiert das Risiko, den Kunden zu kennen oder ihn zu identifizieren, z. B. bei einem betrügerischen Versuch, auf Kundendaten zuzugreifen.
Sicherheits-Governance
Das IT-Sicherheitskomitee von PeopleWeek trifft sich monatlich, um die sich wandelnde Sicherheitslandschaft zu beobachten, neue Risiken zu bewerten und sicherzustellen, dass unser Informationssicherheitsmanagementsystem (ISMS) weiterhin höchsten Standards entspricht. Durch die aktive Beteiligung unserer Geschäftsleitung bleibt Sicherheit eine Priorität mit klarer Verantwortung und Rechenschaftspflicht auf höchster Ebene der Organisation.
Externe Beurteilungen und Zertifizierungen
PeopleWeek führt regelmässig Cybersicherheits-Audits und Penetrationstests für unsere Plattform durch. Wir halten uns an die Datenschutzgesetze, einschliesslich DSGVO und das Schweizerische Bundesgesetz über den Datenschutz. Die Kunden von PeopleWeek können eine Zusammenfassung der Ergebnisse unserer letzten externen Penetrationstests anfordern. PeopleWeek-Kunden können auch ihre eigenen, unabhängigen Penetrationstests unserer Plattform durchführen lassen.
PeopleWeek ist nach ISO 27001 zertifiziert, dem international anerkannten Standard für Informationssicherheitsmanagement. Diese Zertifizierung bestätigt, dass wir strenge Prozesse zum Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Daten anwenden und unsere Sicherheitskontrollen kontinuierlich bewerten und verbessern. Die Zertifizierungsaudits werden von SGS Schweiz durchgeführt.
Sicherheit der Anwendung
Die Anwendungsarchitektur von PeopleWeek wurde nach den OWASP®-Standards entwickelt. Open Web Application Security Project® ist eine gemeinnützige Stiftung, die sich für die Verbesserung der Sicherheit von Software einsetzt. OWASP umreißt mehr als 80 kritische Sicherheitsrisiken für die Sicherheit von Webanwendungen. PeopleWeek hat diese Standards in sein Software-Design integriert und prüft seine Robustheit selbst.
Rollenbasierte Sicherheit und Datenschutz
PeopleWeek nutzt eine rollenbasierte Zugriffskontrolle, um sicherzustellen, dass Benutzer nur auf die Informationen zugreifen können, die sie für ihre Aufgaben benötigen. Dieser Ansatz bietet eine sichere und skalierbare Möglichkeit, den Datenzugriff in Organisationen jeder Größe zu verwalten.
Mit mehr als 50 vordefinierten Rollen für Bereiche wie HR, Management, Recruiting, Weiterbildung, Vergütung, Talentmanagement, Spesen und Compliance ermöglicht PeopleWeek eine präzise Steuerung von Zugriffsrechten entsprechend der Organisationsstruktur und den jeweiligen Anforderungen. Die Rollen können je nach den vom Kunden eingesetzten Modulen variieren.
Diese Sicherheitsrollen sind in die PeopleWeek-Plattform integriert und werden nicht für jeden Kunden individuell konfiguriert. Dieser integrierte Datenschutzansatz reduziert das Risiko von Konfigurationsfehlern und trägt dazu bei, dass Benutzer jederzeit über die angemessenen Zugriffsrechte verfügen.
Daten-Verschlüsselung
PeopleWeek verfügt über Verschlüsselung auf mehreren Ebenen: auf Infrastrukturebene (d. h. vollständige Festplattenverschlüsselung), auf Datenbankebene und auf Dateiebene.
Systemzugang (Einloggen)
PeopleWeek bietet ein natives Login, das anerkannten sicheren Passwortprotokollen folgt. PeopleWeek bietet auch eine Zwei-Faktor-Authentifizierung, einschließlich einer proprietären Anwendung zur Erzeugung zeitbasierter Einmalpasswörter (TOTP).
Viele PeopleWeek-Kunden haben sich für die Integration von PeopleWeek mit Azure Single Sign-On entschieden, was ihren Mitarbeitern eine bequeme Methode für den Zugriff auf das System bietet und mit Multifaktor-Authentifizierung (MFA) kombiniert werden kann.
Alle Anmeldemethoden funktionieren sowohl in der Web-Version als auch in der mobilen App-Version von PeopleWeek.
Physische Sicherheit (Rechenzentrum)
Alle PeopleWeek-Server werden in einem erstklassigen Rechenzentrum in der Schweiz gehostet.
Daten-Backup und -Wiederherstellung
PeopleWeek kann bis zu 30 Tage lang Kundendaten und -archive wiederherstellen. Es ist für Kunden auch möglich, eine längere Datenwiederherstellungsfrist in Anspruch zu nehmen (gegen zusätzliche Gebühren).
Der Ansatz von PeopleWeek zur Verwaltung von Client-Instanzen ermöglicht uns den Einsatz horizontal skalierbarer Ressourcen. Das heißt, wenn ein Hardware- oder Softwareproblem dazu führt, dass der Dienst für einen bestimmten Kunden nicht verfügbar ist, nutzt die Infrastruktur von PeopleWeek gepoolte Ressourcen, um die Last zu übernehmen und so einen unterbrechungsfreien Dienst bereitzustellen. Das Zusammenfassen von Serverressourcen bedeutet auch, dass Clientdaten kontinuierlich repliziert werden, um das potenzielle Datenverlustfenster in einem Notfallwiederherstellungsszenario zu minimieren.
Verfügbare Dokumente
PeopleWeek kann unseren Kunden und potenziellen Kunden die folgenden Dokumente zur Verfügung stellen:
- ISO/IEC 27001:2022 Zertifikat
- IT-Sicherheits-, Datenschutz- und Vertraulichkeitsrichtlinien
- Infrastrukturdiagramme
- OWASP-Konformitätsergebnisse
- Zusammenfassender Bericht zum Penetrationstest
Kontakt
Der Information Security Manager & Data Protection Officer von PeopleWeek steht auch zur Verfügung, um sicherheitsbezogene Fragen zu beantworten (chris.parker@peopleweek.com).
Fragen und Antworten
Wie sicher ist PeopleWeek?
PeopleWeek nimmt die Datensicherheit sehr ernst. Unser Ziel ist es nicht nur, die gesetzlichen und regulatorischen Anforderungen zu erfüllen, sondern sie zu übertreffen und unsere Praktiken kontinuierlich an die sich entwickelnden Technologien und Risiken anzupassen.
Was ist die DSGVO-Richtlinie von PeopleWeek?
PeopleWeek hält sich an die GDPR und das Schweizerische Bundesgesetz über den Datenschutz (DSGVO). Wir sorgen dafür, dass unsere Mitarbeiter gut geschult sind und über die erforderlichen Instrumente verfügen, um die Anforderungen des Datenschutzes zu erfüllen. Unser IT-Sicherheitsausschuss trifft sich monatlich, um sicherzustellen, dass die Geschäftsleitung alle Aspekte der IT-Sicherheit im Auge behält und dass Sicherheit und Datenschutz in unseren Arbeitsabläufen und unserer Kultur verankert sind.
Wo finde ich die IT-Sicherheitspolitik von PeopleWeek?
Die IT-Sicherheits-, Datenschutz- und Datensicherheitsrichtlinien von PeopleWeek können auf Wunsch mit Kunden und Interessenten geteilt werden.
Wo werden die Daten von PeopleWeek gespeichert?
Alle Kundendaten und -dateien werden in erstklassigen Rechenzentren in der Schweiz gehostet.
Verfügt PeopleWeek über Backup-Server?
PeopleWeek hat eine 30-tägige Datenaufbewahrungspraxis. Kunden können längere Aufbewahrungsfristen beantragen (gegen zusätzliche Gebühren). Alle Kundendatenbanken und -dateien sowie Backup-Server werden in der Schweiz gehostet.
Verfügt PeopleWeek über eine Verschlüsselung im Ruhezustand?
PeopleWeek bietet Verschlüsselung auf mehreren Ebenen: auf Infrastrukturebene (d.h. vollständige Festplattenverschlüsselung), auf Datenbankebene und auf Dateiebene.
Verwendet PeopleWeek Verschlüsselung?
PeopleWeek verwendet Verschlüsselung bei der Übertragung und Verschlüsselung im Ruhezustand. Die Verschlüsselung erfolgt auf der Ebene der Festplatte, der Datenbank und der Dateien.
Speichert PeopleWeek Protokolle?
PeopleWeek speichert und überwacht verschiedene Logs auf Anwendungs- und Systemebene. Darüber hinaus speichert PeopleWeek ein detailliertes Audit-Protokoll der in der Anwendung stattfindenden Geschäftstransaktionen, das den Kunden auf Anfrage zur Verfügung gestellt werden kann.
Wer ist der Datenschutzbeauftragte von PeopleWeek?
chris.parker@peopleweek.com (Chief Information Security Officer und Datenschutzbeauftragter)
Verfügt PeopleWeek über einen Business-Continuity-Plan (BCP)?
Der BCP von PeopleWeek kann bei Bedarf mit Kunden und Interessenten geteilt werden.
Bietet PeopleWeek eine Integration mit Azure SSO an?
Ja
Folgen Aktualisierungen der Produktionsumgebungen von PeopleWeek einem dokumentierten Änderungsprozess?
PeopleWeek folgt einem strengen Change-Management-Prozess für alle System-Updates. Alle Änderungen werden in Änderungsprotokollen festgehalten.
Haben Sie kürzlich Audits durch Dritte durchgeführt?
PeopleWeek ist nach ISO 27001 zertifiziert, dem international anerkannten Standard für Informationssicherheitsmanagement. Diese Zertifizierung bestätigt, dass wir strenge Prozesse zum Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Daten anwenden und unsere Sicherheitskontrollen kontinuierlich bewerten und verbessern. Die Zertifizierungsaudits werden von SGS Schweiz durchgeführt.
Führt PeopleWeek Schwachstellen-Scans oder Penetrationstests durch?
PeopleWeek führt in regelmäßigen Abständen interne Schwachstellen-Scans durch, um unsere Anwendung und Infrastruktur zu testen. Zusätzlich wird jährlich ein unabhängiger Penetrationstest von einem externen Schweizer Cybersicherheitsunternehmen durchgeführt, um eventuelle Schwachstellen zu identifizieren.
Kann PeopleWeek seine Penetrationstestergebnisse teilen?
Ein zusammenfassender Bericht kann auf Wunsch mit Kunden und Interessenten geteilt werden.
Wie melde ich PeopleWeek ein Sicherheitsproblem?
Senden Sie eine E-Mail an admin@PeopleWeek .com
Wie verwaltet PeopleWeek Vorfälle?
PeopleWeeks Richtlinien für das Incident Management können auf Anfrage mit Kunden und Interessenten geteilt werden.
Wer bei PeopleWeek hat Zugriff auf Kundendaten?
Der Zugriff auf Kundendaten wird streng nach Rollen und geschäftlichem Bedarf kontrolliert. Support-Teams der Stufe 1 haben keinen Zugriff auf Kundendaten, während der Support der Stufe 2 auf autorisierte Mitglieder des Teams IT-Sicherheit & Datenschutz beschränkt ist. Infrastruktur-Ingenieure können nur über Just-In-Time-(JIT)-Zugriffskontrollen auf Produktionsumgebungen zugreifen, wobei jeder Zugriff durch Sicherheitsmaßnahmen wie Unternehmensnetzwerk-Beschränkungen und Multi-Faktor-Authentifizierung geschützt wird.
Wie stellt PeopleWeek sicher, dass seine Mitarbeiter die gesetzlichen Bestimmungen zum Datenschutz einhalten?
PeopleWeek schult seine Mitarbeiter regelmäßig zu Themen der Informationssicherheit und des Datenschutzes.
Was passiert, wenn es bei PeopleWeek zu einer Datenverletzung kommt?
Im unwahrscheinlichen Fall einer Datenschutzverletzung oder eines möglichen Datenschutzverstoßes befolgt PeopleWeek seine Richtlinien zum Umgang mit Vorfällen. Unsere Richtlinie für das Management von Vorfällen umfasst Protokolle für die Kommunikation mit Kunden und Aufsichtsbehörden.
Wie funktioniert die Benutzerauthentifizierung?
PeopleWeek bietet zwei verschiedene Arten der Benutzerauthentifizierung an:
1) Anmeldung mit dem PeopleWeek-eigenen Login, das Sicherheitsprotokolle wie eindeutige Benutzernamen, komplexe Passwörter und Unterstützung für die Aktivierung oder Vorgabe einer eingebauten „Time-based One-Time Password“ (TOTP) einhält. PeopleWeek hat seine eigene TOTP-Anwendung.
2) Azure Single Sign-On (SSO)
Wer hat Zugang zu den Daten auf der Kundenseite und wie werden sie getrennt?
PeopleWeek basiert auf einer rollenbasierten Zugriffskontrolle und stellt sicher, dass Benutzer nur Zugriff auf die für ihre Aufgaben relevanten Informationen haben. Mit mehr als 50 vordefinierten Rollen stellt PeopleWeek sicher, dass jeder Benutzer nur auf die seinem jeweiligen Rollenprofil entsprechenden Daten zugreifen kann.
Wie stellt PeopleWeek die Verfügbarkeit des Systems sicher?
Die Infrastruktur von PeopleWeek wurde entwickelt, um die Leistung, Zuverlässigkeit und Langlebigkeit für alle Kunden zu optimieren. Wir verfügen über integrierte Redundanz- und Replikationsmöglichkeiten durch das Design unserer Datenbank-, Datei- und Serverarchitektur. Dies wird durch unsere Anwendungs- und Infrastruktursicherheit sowie ausgereifte Arbeitspraktiken untermauert.
Was geschieht mit den Kundendaten im Falle eines Totalausfalls des Systems (z.B. höhere Gewalt)?
Im unwahrscheinlichen Fall eines Totalausfalls von PeopleWeek können 30 Tage gesicherter Daten wiederhergestellt werden. Da Kundendaten mithilfe unserer gepoolten Ressourcen kontinuierlich repliziert werden, wird das Zeitfenster für mögliche Datenverluste in einem Notfallwiederherstellungsszenario minimiert.
Wer ist Eigentümer der Kundendaten in PeopleWeek?
Der Kunde ist Eigentümer und Verfügungsberechtigter über seine in PeopleWeek gespeicherten Daten.
Was geschieht, wenn ein Kunde seinen Vertrag mit PeopleWeek kündigt?
Nach Beendigung der Vertragsbeziehung können Kunden den Großteil ihrer Daten und Dokumente direkt aus PeopleWeek exportieren. Falls zusätzliche Unterstützung erforderlich ist, unterstützt PeopleWeek Kunden bei der Datenextraktion, einschließlich des Massenexports von Dokumenten, sofern dies erforderlich ist. Nach Abschluss des vereinbarten Datenextraktionsprozesses werden Kundendaten gemäß den Datenaufbewahrungsverfahren von PeopleWeek sicher gelöscht.