Vertrauen Sie uns den Schutz und die Sicherheit Ihrer Daten an

Von Grund auf sicher

Cohesity folgt grundlegenden Sicherheitsprinzipien, die unter anderem Folgendes beinhalten: Security by default, Ausfallsicherheit und sichere Implementierung von kryptographischen Algorithmen. Um die Sicherheit, Konformität und Zertifizierung der Produkte bei der Entwicklung neuer Funktionen zu gewährleisten, richtet Cohesity das Produktdesign an den aktuellen Best Practices im Bereich Sicherheit aus.

Sichere Entwicklung

Die Entwicklungsteams bei Cohesity arbeiten während der Entwurfs- und Planungsphasen mit einem spezialisierten Produktsicherheitsteam zusammen. Dieses Product Security Team von Cohesity spricht Empfehlungen für die Übernahme sicherer Designs aus, führt Bedrohungsmodelle durch, definiert geeignete Sicherheitsstandards und legt Sicherheitsanforderungen fest.

Garantierte Sicherheit

Die Plattform und die Infrastruktur von Cohesity werden regelmäßig Sicherheitstests unterzogen und optimiert, um die Sicherheit zu erhöhen. Das Betriebssystem und die Komponenten sind so konfiguriert, dass sie die Anforderungen für die Sicherheitshärtung erfüllen, einschließlich der Benchmarks des Center for Internet Security (CIS) und der Konfigurationsstandards des US-Verteidigungsministeriums (Security Technical Implementation Guide, STIG).

Sicherheitsstandards und -programme

Cohesity orientiert sich an branchenüblichen Standards für das Schwachstellenmanagement, das Management einer sicheren Produktentwicklung und die Reaktion auf Vorfälle.

Sicherheitstrainings

Cohesity bietet seinen Entwicklern, Designern, Entwicklungsmanagern, Release Managern, QA-Ingenieuren und Produktmanagern Sicherheitsschulungen und -ressourcen an. Diese haben zum Ziel, Sicherheitspraktiken in den gesamten Produktentwicklungszyklus einzubeziehen. Des Weiteren führt Cohesity vierteljährlich Schulungen zum sicheren Coding durch, in denen bewährte Sicherheitspraktiken für die Produktentwicklung behandelt werden. Diese Schulungen sind für alle Programmierer verpflichtend.

Verantwortungsbewusste Meldungen

Cohesity folgt den Best Practices der Branche, um Schwachstellen während des gesamten Produktlebenszyklus zu entdecken, zu untersuchen und zu beheben – unter Verwendung eines risikobasierten Ansatzes. Das spezialisierte Produktsicherheitsteam (Product Security Team) von Cohesity untersucht und reagiert umgehend auf alle Meldungen über potenzielle Sicherheitsschwachstellen. Der Reaktionsplan von Cohesity für Produktvorfälle dient der Analyse, Eindämmung und Behebung von Sicherheitslücken in seinen Produkten. Der Plan umfasst außerdem Prozesse zur verantwortungsvollen Offenlegung von Problemen, die von externen Forschern, Kunden oder Partnern gemeldet werden.

Problemmeldungen

Kunden, Partner und externe Forscher können Schwachstellen in Cohesity-Produkten und -Dienstleistungen melden, indem sie sich an Cohesity Security wenden.

Helios Administration

Kunden können die cloudbasierte Helios-Plattform verwenden. Diese Plattform bietet zentralisiertes Management und Analysen für die selbst verwalteten Produkte und Dienste der Kunden (Helios Management Service).

Je nach eingesetztem Cohesity-Produkt oder -Service ist die Nutzung des Helios Management Service für den Kunden entweder vorgeschrieben oder optional.

Sicherheitsarchitektur und Isolation der Nutzer

In der Datenmanagement-Umgebung von Helios sind die Management- und Datendienste voneinander getrennt.

Die von Cohesity verwalteten Helios Management Services sind nativ für mehrere Kunden ausgelegt (multitenant), wobei jeder Kunde/Tenant als eigenständige Organisation definiert ist. Diese Organisationen sind strikt voneinander getrennt und die Ressourcen der Organisation – seien es Daten, Richtlinien, Administratoren usw. – sind auf diese eine Organisation beschränkt.

Separate Tenant-Datenspeicher stellen sicher, dass die Daten des einen Kunden von denen anderer Kunden isoliert sind.

Cloud-Infrastruktur

Cohesity sorgt für Sicherheit, indem Zugriffskontrollen auf der Grundlage von Zero Trust-Prinzipien eingesetzt werden, um den unbefugten Zugriff auf die Cloud-Infrastruktur oder deren Verletzung zu verhindern. Dazu gehören der Helios Management Service und die von Cohesity verwalteten Datenmanagement-Services.

Kundenauthentifizierung und Zugangskontrolle

Der Helios Management Service bietet Kunden ein breites Spektrum an Kontrollmöglichkeiten, um Benutzerkonten und den ihnen zugewiesenen Zugriff zu verwalten – in Übereinstimmung mit strengen Sicherheitsstandards und den jeweils eigenen Sicherheitsrichtlinien der Kunden. In jeder Tenant-Organisation verwaltet ein Administrator die anderen Benutzer in dieser Organisation. Die Administratoren können über Zugriffskontrollen (role-based access controls, RBAC) Benutzer hinzufügen und verwalten. Die Anwendung des Prinzips der geringsten Privilegien und der Aufgabentrennung kann mit einer fein abgestuften Kontrolle über standardmäßige und benutzerdefinierte Rollen erreicht werden. Tenant-Administratoren können den Helios Management Service auch in bereits bestehende Identitätskontrollen integrieren. Dies ermöglicht es jeder Organisation, ihre jeweils eigenen Authentifizierungsprozesse in Bezug auf Passwortrichtlinien, Multifaktor-Authentifizierung (MFA) und Ähnliches anzuwenden.

Mitarbeiterauthentifizierung und Zugangskontrolle

Cohesity verfolgt einen äußerst restriktiven Ansatz für den internen Zugriff auf die Helios Management Services. Zugang wird ausschließlich auf Grundlage der Zuständigkeit für die Verwaltung und Wartung des Systems gewährt. Cohesity hält sich an die Prinzipien der geringsten Privilegien und der Aufgabentrennung und wendet interne Zugriffs- und Autorisierungskontrollen an. Bevor sich ein Benutzer für eine bestimmte Funktion anmelden kann, muss er festgelegte Qualifikationskriterien erfüllen und in jedem Fall zuvor die dokumentierte Genehmigung einholen. Für alle Cohesity-Benutzer sind eine eindeutige Benutzer-ID und eine Multifaktor-Authentifizierung erforderlich.

Datenisolierung

Für den Helios Management Service sind die Daten und Metadaten jedes Tenants von denen anderer Tenants getrennt und isoliert. Für die von Cohesity verwalteten Datenmanagement-Services werden jedem Tenant eindeutige Speicherplätze zugewiesen. Dadurch wird sichergestellt, dass die Inhalte eines Tenants niemals mit anderen Tenants geteilt werden können oder für letztere zugänglich sind.

Datenresilienz und -verfügbarkeit

Der Helios Management Service bietet eine Verfügbarkeitsrate von 99,9 % – davon ausgenommen sind geplante oder Notfall-Wartungen. Die Helios Datenmanagement-Services stützen sich auf den S3-Service von Amazon Web Services (AWS) in vom Kunden definierten Regionen. Sie erstrecken sich über mindestens drei Verfügbarkeitszonen, die wiederum innerhalb derselben AWS-Region jeweils viele Kilometer voneinander entfernt liegen. Der AWS S3-Service garantiert eine Datenbeständigkeit von 99,999999999 %. Im Falle einer Störung kann der Helios Management Service die im Datenmanagement-Service gespeicherten Daten wiederherstellen, indem er die in S3 gespeicherten Daten verwendet.

Datenverschlüsselung

Alle Kundendaten – sowohl die Metadaten im Helios Management Service als auch die Daten in den Datenmanagement-Services selbst – werden im Ruhezustand und während der Übertragung mit starken, dem Industriestandard entsprechenden Verschlüsselungsalgorithmen und -protokollen verschlüsselt.

Abwehr von Angriffen auf die Infrastruktur

Cohesity verfügt über diverse Maßnahmen zur Abwehr von Distributed Denial of Service (DDOS), Eindringversuchen und Malware-Angriffen. Diese Sicherheitsvorkehrungen sind in die Überwachungsinfrastruktur für die Helios-Umgebung integriert. Cohesity verwendet Firewalls, um Verbindungen ständig zu überwachen und Anomalien zu erkennen. Wenn Anomalien entdeckt werden, blockiert und bewertet Cohesity die Verbindung zur Helios Kontroll-Umgebung. Die Server, Container und die Infrastruktur innerhalb der Helios-Umgebung werden auf Schwachstellen überwacht, die regelmäßig behoben werden.

Sicherheit der Rechenzentren

Der Helios Management Service und die Datenmanagement-Services von Cohesity werden in Amazon Web Services (AWS) gehostet. Weitere Informationen über die Sicherheitskontrollen bei AWS-Rechenzentren finden Sie unter https://aws.amazon.com/compliance/data-center/controls/.

Geschäftskontinuität und Notfallwiederherstellung

Cohesity verfügt über einen Business Continuity Plan, der den Geschäftsbetrieb und die Notfallwiederherstellung abdeckt. Wir bewerten regelmäßig die Risiken für das Unternehmen und wenden geeignete Handlungspläne an, um die Risiken auf ein akzeptables Niveau zu bringen. Diese Pläne zeigen wichtige Geschäftsprozesse auf, dokumentieren Bedrohungen, die zu einer Unterbrechung des Geschäftsbetriebs führen könnten, und befassen sich mit der Wiederherstellung von Verbindungsmöglichkeiten sowie unterstützenden Systemen. Damit stellen wir sicher, dass die Verpflichtungen von Cohesity gegenüber seinen Kunden stets erfüllt werden können.

Schwachstellenmanagement

Cohesity verfügt über ein Programm zum Management von Bedrohungen und Schwachstellen. Dieses Programm dient der kontinuierlichen Überwachung von Schwachstellen, die von Herstellern bestätigt, von Forschern gemeldet oder intern durch Schwachstellen-Scans, Penetrationstests oder von Mitarbeitern von Cohesity entdeckt werden. Die Bedrohungen werden nach ihrem Schweregrad eingestuft und bei Bedarf zur Behebung zugewiesen.

Überwachung und Warnung

Helios setzt auf kontinuierliche Überwachung sowohl der Sicherheit als auch der Verfügbarkeit der Dienste.

Diese Überwachung ist eine Funktion in jedem Service, wobei wichtige Leistungsindikatoren und Metriken von Anfang an integriert sind. Dashboards und Metriken werden von den Überwachungs- und Reaktionsteams genau verfolgt. Warnungen werden bereits im Entwicklungsprozess konzipiert. Die Warnmeldungen werden vom Cloud-Betriebsteam und den Entwicklungsteams überprüft, um sicherzustellen, dass bei der Bereitstellung in der Produktion bestimmte Schwellenwerte festgelegt und entsprechend überwacht werden.

Information Security

Die Informationssicherheit von Cohesity wird unter der Leitung des CISO von Cohesity und unter der Aufsicht des Cohesity Security Council von einem spezialisierten Expertenteam gewährleistet. Die Aufgabe des Teams besteht darin, die Sicherheit, den Schutz und die Konformität der Systeme, Prozesse, Daten und des Personals von Cohesity sowie der uns von unseren Kunden anvertrauten Assets zu garantieren.

Richtlinien zur Informationssicherheit

Das Richtlinienpaket von Cohesity für die Informationssicherheit deckt das Unternehmen, seine Mitarbeiter und die Datenbestände ab. Die Richtlinien orientieren sich an Industriestandards und umfassen Bereiche wie Sicherheitsorganisation, angemessene Nutzung von Assets, Zugriffskontrollen sowie Klassifizierung und Handhabung von Informationen. Die Richtlinien werden regelmäßig von Cohesity Information Security überprüft und bei Bedarf aktualisiert.

Schulungen zum Sicherheitsbewusstsein

Cohesity Information Security legt Anforderungen für Schulungen zur Informationssicherheit fest und stellt sicher, dass alle Mitarbeiter die Schulungen absolvieren und ihre jeweiligen Verantwortlichkeiten verstehen. Eine Schulung zur Informationssicherheit ist fester Bestandteil bei der Einarbeitung neuer Angestellter und muss jährlich wiederholt werden. Die Schulungen werden durch regelmäßige Präsentationen, Mitteilungen und Lerneinheiten zu bestimmten Themen ergänzt. Gegebenenfalls erhalten die einzelnen Geschäftsbereiche spezielle Schulungen für ihre jeweiligen Rollen und Aufgaben. So wird das Programmierteam regelmäßig in den Bereichen Sicherheitsprinzipien und sichere Entwicklungspraktiken geschult.

Cyber Risk Management

Cohesity setzt ein Cyber Risk Management-Programm ein, um Risiken für seine IT-Ressourcen – einschließlich Systeminfrastruktur, Netzwerke, Endpunkte, Daten und geistiges Eigentum – zu identifizieren, zu priorisieren und zu verwalten. Mit dem Cyber Risk Management-Programm ermittelt Cohesity interne und externe Cyber-Risiken, die Wahrscheinlichkeit ihres Auftretens und die potenziellen Auswirkungen. Cohesity arbeitet mit den jeweiligen Eigentümern zusammen, um die Risiken entsprechend der Risikoeinschätzung von Cohesity abzuschwächen und zu beseitigen.

Vendor Risk Management

Mithilfe des Vendor Risk Management-Programms prüft und validiert Cohesity die Sicherheitslage bei seinen Drittanbietern vor dem jeweiligen Onboarding. Darüber hinaus führen wir Folgeprüfungen durch. Cohesity verwaltet und überwacht die Sicherheitsrisiken dieser Anbieter durch sein Risikomanagementprogramm. Dies geschieht in Übereinstimmung mit der Sicherheitsstrategie von Cohesity, den Kundenverpflichtungen und den geltenden gesetzlichen Bestimmungen.

Informationen über Bedrohungen und Schwachstellenmanagement

Cohesity Information Security unterhält ein Management-Programm, das Schwachstellen identifiziert und in Zusammenarbeit mit den für die Kontrolle Verantwortlichen behebt. So werden Bedrohungen für die Produkte und die Infrastruktur von Cohesity verringert. Darüber hinaus werden Penetrationstests für die entsprechenden Assets von Cohesity durchgeführt und die Behebung der Schwachstellen nach Priorität geordnet, um so die Sicherheit bei und von Cohesity zu optimieren.

Reaktion auf Vorfälle

Cohesity Information Security verfügt über eine Richtlinie für das Management von Vorfällen. Dazu gehören Verfahren, die die genaue Struktur und die Leitlinien für unsere Reaktionsmaßnahmen vorgeben. Die Verfahren zur Reaktion auf Vorfälle in dieser Richtlinie geben die Schritte vor, die von den Mitarbeitern von Cohesity zu befolgen sind. Dadurch wird eine schnelle Erkennung von Sicherheitsvorfällen und Schwachstellen gewährleistet und eine zügige Reaktion auf derartige Sicherheitsvorfälle ermöglicht. Dies umfasst das Erkennen, Bewerten, Eindämmen und Abschwächen von Vorfällen sowie die folgende Wiederherstellung/Reparatur.

Personal

Bei der Einstellung neuer Mitarbeiter werden Hintergrundprüfungen durchgeführt. Die Mitarbeiter erhalten außerdem den Verhaltenskodex des Unternehmens sowie weitere Richtlinien und Vertraulichkeitsvereinbarungen, die sie alle bestätigen müssen.

Physische Sicherheit vor Ort

Die Büroräume von Cohesity sind physisch durch Wach- oder Empfangspersonal gesichert. Zugangskontrollen mit Ausweis werden zentral verwaltet und überwacht. Für den Zugang zu gesicherten Bereichen sind erweiterte Berechtigungen erforderlich. Es sind Kamerasysteme installiert. Alle Standorte verfügen über einen immer bewachten Zugang (24x7x365), verwenden Kamera- und Beleuchtungssysteme und gestatten den Zugang nur mit entsprechendem Ausweis. Cohesity ist SOC 2 zertifiziert und kann auf Anfrage zur Verfügung gestellt werden.

Datenschutzerklärung

Unsere Datenschutzerklärung finden Sie unter www.cohesity.com/agreements.

Verarbeitungsstandorte

Cohesity kann personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums (EWR) verarbeiten. Ein Beispiel dafür ist die Bereitstellung von 24/7-Supportdiensten, sofern sich der Kunde für die Weitergabe personenbezogener Daten an Cohesity entscheidet. Die rechtlichen Mechanismen, die zur Ermöglichung solcher Datenübertragungen verwendet werden, sind die Standardvertragsklauseln (SCC), die in der Zusatzerklärung zur Datenverarbeitung von Cohesity unter www.cohesity.com/agreements näher erläutert werden.

Support-Standorte

Cohesity verfügt derzeit über Support-Zentren in den USA, Irland, Indien, Kanada und Japan.

Grenzüberschreitende Datenübertragung

Grenzüberschreitende Datenübertragungen werden in unserer Zusatzerklärung zur Datenverarbeitung unter www.cohesity.com/agreements ausführlich behandelt.

Einhaltung internationaler Gesetze

Cohesity verarbeitet personenbezogene Daten in Übereinstimmung mit allen anwendbaren Datenschutzgesetzen und -vorschriften, einschließlich der Gesetze und Vorschriften der Europäischen Union (DSGVO), des Europäischen Wirtschaftsraums und seiner Mitgliedsstaaten, der Schweiz und des Vereinigten Königreichs, des California Consumer Privacy Act (CCPA) und des Personal Information Protection and Electronic Documents Act (Kanada), jeweils in dem Umfang, in dem sie für Cohesity in Bezug auf die Verarbeitung personenbezogener Daten gelten. Weitere Informationen finden Sie in unserer Zusatzerklärung zur Datenverarbeitung unter www.cohesity.com/agreements.

Vereinbarung zur Datenverarbeitung

Die Zusatzerklärung zur Datenverarbeitung von Cohesity finden Sie unter www.cohesity.com/agreements. Sie gilt automatisch für alle Kunden, die Helios SaaS nutzen, und ist Bestandteil der Helios SaaS Nutzungsbedingungen von Cohesity (ebenfalls verfügbar unter www.cohesity.com/agreements). Wenn ein Kunde der Meinung ist, dass die Zusatzerklärung zur Datenverarbeitung für andere Aktivitäten gelten sollte, wenden Sie sich bitte an die Rechtsabteilung von Cohesity (Cohesity Legal).

SOC 2 Typ II Bericht

Die Cohesity Helios SaaS-Plattform wird jährlich einem Typ II-Audit der Service Organization Controls 2 (SOC 2) unterzogen, um die Kontrollen des Informationssicherheitssystems in Bezug auf die Sicherheit, Verfügbarkeit und Vertraulichkeit der Trust Services Criteria zu bewerten.

ISO27001

Das Informationssicherheits-Managementsystem (ISMS), das die Cohesity Cloud Services unterstützt, ist gemäß ISO/IEC 27001:2022 zertifiziert.

HIPAA

Die Produkte und Services von Cohesity entsprechen den Sicherheitsmaßstäben und -anforderungen des Health Insurance Portability and Accountability Act (HIPAA).

Einhaltung des Trade Agreements Act

Cohesity hält sich an den Trade Agreements Act (TAA). Die Hardware wird aus San Jose, Kalifornien, geliefert. Die White-Label-Systeme von Cohesity werden in ausgewiesenen TAA-konformen Ländern hergestellt und montiert.

National Defense Authorization Act 2019

Cohesity erfüllt Abschnitt 889 des National Defense Authorization Act aus dem Jahr 2019.

Liste der zugelassenen Produkte des US-Verteidigungsministeriums (Department of Defense Information Network Approved Product List)

Die Cohesity-Plattform wurde von der Defense Information Systems Agency (DISA), einer Behörde des US-Verteidigungsministeriums (DoD), für die Aufnahme in die DoD Information Network (DoDIN) Approved Products List (APL) zertifiziert. Bei der DoDIN APL handelt es sich um eine konsolidierte Liste von Produkten, die die strengen Zertifizierungsanforderungen für Cybersicherheit und Interoperabilität für den Einsatz in DoD-Netzwerken erfüllen.

FedRAMP

FedRAMP ist ein Regierungsprogramm, das die Einführung von sicheren Cloud-Diensten in der gesamten Bundesregierung fördert, indem es einen standardisierten Ansatz für die Sicherheits- und Risikobewertung von Cloud-Technologien und Bundesbehörden bietet.

Cohesity ist FedRAMP Moderate- zertifiziert.

GovRAMP

GovRAMP ist eine eingetragene 501(c)(6) gemeinnützige Mitgliederorganisation, die sich aus Service Providern, die IaaS-, PaaS- und/oder SaaS-Lösungen anbieten, aus Drittbewertungsorganisationen und aus Regierungsbeamten zusammensetzt. Das 2020 gegründete StateRAMP (dba GovRAMP) entstand aus dem klaren Bedürfnis nach einem standardisierten Ansatz für die Cybersicherheitsstandards, die von Service Providern verlangt werden, die Lösungen für staatliche und lokale Behörden anbieten.

Cohesity ist GovRAMP-zertifiziert.

Betriebserlaubnis (Authorization to Operate, ATO)

Cohesity unterhält ATOs für seine Produkte für den Betrieb in streng geheimen Netzwerken des US-Verteidigungsministeriums (DoD), des US-Energieministeriums (DoE) und der US-Nachrichtendienste. Für die Produkte von Cohesity sind Security Technical Information Guides (STIG) für den Einsatz in DoD Top Secret-Netzwerken verfügbar.

Common Criteria EAL2+

Die Cohesity-Plattform ist nach Common Criteria mit EAL2+ ALC_FLR.1 zertifiziert. Common Criteria for Information Technology Security Evaluation (kurz Common Criteria) ist ein internationaler Standard (ISO/IEC 15408) für die Zertifizierung von Computersicherheit.

Mehr Informationen finden Sie hier.

NIST FIPS 140-2 Validierung des kryptografischen Moduls

Das in den Produkten von Cohesity verwendete kryptografische Modul wurde vom United States National Institute of Standards and Technology (NIST) gemäß dem Standard Federal Information Processing Standards (FIPS) 140-2 Level 1 validiert. FIPS 140-2 ist ein Standard der US-Regierung für kryptografische Module, der zusichert, dass das Moduldesign und die Implementierung kryptografischer Algorithmen sicher und korrekt sind.

Mehr Informationen finden Sie hier.

IPv6

Die Cohesity-Plattform wurde vom University of New Hampshire-InterOperability Lab (UNH-IOL) im Rahmen des USGv6-Testprogramms als USGv6-konform zertifiziert.

Mehr Informationen finden Sie unter https://www.iol.unh.edu/registry/usgv6-2008?name=cohesity.

SEC 17a-4(f), FINRA Rule 4511(c) und CFTC Regulation 1.31(c)-(d)

Die Cohesity-Plattform verfügt über eine eingebaute Unterstützung für WORM-Funktionen (Write-Once, Read-Many). Die WORM-Implementierung wurde von Cohasset Associates als konform mit den Regeln in SEC 17a-4(f), FINRA Rule 4511(c) und CFTC Regulation 1.31(c)-(d) bewertet.

Mehr Informationen finden Sie hier.

Zusatzerklärung zur Datensicherheit

Mit Blick auf die Anforderungen in der DSGVO und dem CCPA bietet Cohesity eine Zusatzerklärung zur Datensicherheit (Data Processing Addendum, DPA) an.

Liste der Unterauftragsverarbeiter

Cohesity kann Drittanbieter als (Unter-)Verarbeiter von personenbezogenen Daten einsetzen, um seine Services zu erbringen.

Dokumentation zu Produkten und Services

Das Dokumentationsportal von Cohesity kann über MyCohesity aufgerufen werden.

Helios SaaS Security Brief

Das Helios SaaS Security Brief finden Sie im Dokumentationsportal von Cohesity.

DataPlatform Security Whitepaper

Das DataPlatform Security Whitepaper finden Sie im Dokumentationsportal von Cohesity.

DataPlatform Security Hardening Guide

Den DataPlatform Security Hardening Guide finden Sie im Dokumentationsportal von Cohesity.

Cohesity Ransomware Protection – Prepare and Recover

Das Cohesity Ransomware Protection – Prepare and Recover Whitepaper finden Sie im Dokumentationsportal von Cohesity.

Sicherheitsleitfaden

Sicherheitshinweise für hyperkonvergente Knoten von Cohesity.