Sicherheit und Unterauftragsverarbeiter
Was ein CISO oder Einkäufer überprüfen sollte, bevor er uns sein Inventar anvertraut: Wo unsere Server laufen, wer Ihre Daten sonst noch passieren sieht, was die Plattform schützt und an wen Sie sich wenden können, wenn Sie einen Fehler darin finden.
Hosting und Standort
Die Anwendung, ihre Datenbank, ihre Suchmaschine und unser Mailserver laufen auf Servern, die von OVHcloud (OVH SAS), einem französischen Unternehmen, in Rechenzentren in Frankreich betrieben werden.
Die Website und die Anwendung werden über Cloudflare bereitgestellt, das als Reverse-Proxy fungiert: Seitenbereitstellung, Schutz vor Denial-of-Service-Angriffen und Filterung von bösartigem Datenverkehr. Wie jeder Reverse-Proxy sieht Cloudflare die IP-Adressen, Header und Inhalte der durchgeleiteten Anfragen. Cloudflare, Inc. ist ein amerikanisches Unternehmen mit einem weltweiten Netzwerk, daher behandeln wir diesen Datenfluss als eine Übertragung außerhalb der Europäischen Union, die den unten aufgeführten Schutzmaßnahmen unterliegt.
Unsere Unterauftragsverarbeiter
Hier finden Sie die vollständige Liste der Anbieter, die in unserem Auftrag personenbezogene Daten verarbeiten. Es erscheint auch in unserem Datenschutzrichtlinie.
| Unterauftragsverarbeiter | Rolle | Beteiligte Daten | Land | Transfersicherungen |
|---|---|---|---|---|
| OVHcloud (OVH SAS) | Hosting der Server, der Datenbank und des Mailservers | Alle Servicedaten: Konten, Bestände, Warnungen, Fälle, Protokolle, gesendete E-Mails | Frankreich | Nicht zutreffend: in Frankreich gehostet |
| Cloudflare, Inc. | Reverse Proxy, Page Delivery (CDN) und Angriffsschutz vor der Website und der Anwendung | IP-Adressen, Header und Inhalte der durchlaufenden Anfragen | Vereinigte Staaten | Zertifizierung nach dem EU-U.S. Datenschutzrahmen und die Standardvertragsklauseln der Europäischen Kommission |
| PostHog, Inc. | Zielgruppenmessung für die Website und die Anwendung | Seitenaufrufe, Klicks, technische Browserinformationen, IP-Adresse. Nur mit Ihrer Zustimmung: eine dauerhafte Kennung, Sitzungsaufzeichnung (maskierte Eingaben) und in der Anwendung die Kennung Ihres Kontos, E-Mail, Name, Rolle, Sprache und Plan | Amerikanisches Unternehmen; Daten gehostet in der EU (Frankfurt) | Datenverarbeitungsvereinbarung (DPA) und Standardvertragsklauseln |
| Mistral-KI | „Vigie“-Assistent und KI-Funktionen | An den Assistenten gesendete Nachrichten und der zur Beantwortung erforderliche technische Kontext (Komponenten, Warnungen, CVEs, End-of-Life-Daten), nur wenn Sie diese Funktionen verwenden | Frankreich; in der EU veranstaltet | Nicht zutreffend: verarbeitet in der Europäischen Union |
| Paddle (Paddle.com Market Limited) | Offizieller Wiederverkäufer (Merchant of Record): Zahlung, Rechnungsstellung und Steuern für Abonnements | Name, E-Mail, Rechnungsadresse, Umsatzsteuer-Identifikationsnummer, Zahlungsmethode (Eingabe mit Paddle, niemals bei uns) | Vereinigtes Königreich | Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich oder Standardvertragsklauseln |
E-Mails (Warnungen, Zusammenfassungen, Servicemeldungen) werden von unserem eigenen Mailserver gesendet, der von OVHcloud gehostet wird: Es ist kein E-Mail-Zustellungsanbieter beteiligt. Sie sind DKIM-signiert und unsere Domain veröffentlicht SPF- und DMARC-Einträge.
Benachrichtigungen, die Sie für Ihre eigenen Tools (Slack, Microsoft Teams, Webhooks) einrichten, gehen an die von Ihnen gewählten Ziele: Diese Dienste gehören Ihnen, nicht unseren Unterauftragsverarbeitern.
Wir verwenden Ihre Daten nicht zum Trainieren eines Modells. Gemäß den Bedingungen von Mistral AI werden die an den kostenpflichtigen API gesendeten Daten auch nicht zum Trainieren seiner Modelle verwendet; Zur Missbrauchserkennung werden sie 30 Tage lang aufbewahrt.
Maßnahmen vorhanden
Diese Liste enthält nur Maßnahmen, die heute funktionieren. Was nicht drauf steht, beanspruchen wir nicht.
Konten und Authentifizierung
- Mit bcrypt gehaschte Passwörter, die niemals im Klartext gespeichert werden.
- Zwei-Faktor-Authentifizierung mit zeitbasierten Codes (TOTP, RFC 6238), verfügbar für jedes Konto, mit Wiederherstellungscodes zur einmaligen Verwendung. Durch das Einschalten werden die anderen offenen Sitzungen geschlossen.
- OpenID Connect Single Sign-On (SSO) im Business-Plan mit Überprüfung der Domänen der Organisation.
- Zugriffstokens mit einer Gültigkeit von 15 Minuten, verlängert durch einmalige Sitzungstoken mit einer Gültigkeit von 7 Tagen, enthalten in HttpOnly- und Secure-Cookies.
- Durch das Ändern oder Zurücksetzen eines Passworts wird jede Sitzung des Kontos geschlossen.
- Die Anzahl der Versuche bei Registrierung, Anmeldung, Zwei-Faktor-Authentifizierung und Passwort-Reset-Anfragen ist begrenzt. Bei Überschreitung des Limits wird unser Team benachrichtigt.
Anwendung und API
- Zur Anwendung: eine strenge Content-Security-Richtlinie (CSP) mit einer erneuerten Nonce bei jeder Anfrage; Anzeige innerhalb fremder Frames gesperrt; HSTS-, X-Content-Type-Options-, Referrer-Policy- und Permissions-Policy-Header.
- Auf der Website: X-Frame-Options-, X-Content-Type-Options- und Referrer-Policy-Header.
- API-Schlüssel werden nur als Hashes gespeichert, sind widerrufbar und auf bestimmte Datenfamilien beschränkt.
- In der Datenbank verschlüsselte SSO-Verbindungsgeheimnisse.
Infrastruktur
- Die Datenbank, der Cache und die Suchmaschine lauschen nur auf der lokalen Schnittstelle des Servers und sind aus dem Internet nicht erreichbar. Der API ist nur über den Front-Webserver erreichbar.
- Dienste werden auf separate Docker-Netzwerke aufgeteilt. Die Anwendungs- und Website-Container werden ohne Root-Rechte, ohne Linux-Funktionen und mit deaktivierter Rechteausweitung ausgeführt; Der Container der Anwendung läuft auf einem schreibgeschützten Dateisystem.
Rückverfolgbarkeit
- Prüfprotokoll sensibler Aktionen: Anmeldungen, Passwortänderungen, Gruppen und Berechtigungen, SSO-Konfiguration, Bestandsänderungen, Verwaltungsaktionen. 30 Tage (Free), 90 Tage (Team), 1 Jahr (Pro) oder 5 Jahre (Business) aufbewahrt; Organisationsadministratoren können es zu den Pro- und Business-Plänen einsehen.
Software-Lieferkette
- Wir erstellen eine Software-Stückliste (SBOM) im CycloneDX-Format aus den tatsächlich bereitgestellten Bildern: Systempakete, Bibliotheken und Abhängigkeiten mit ihren genauen Versionen. Sie können es für Ihre Lieferantenbewertung bei uns anfordern.
Eine Schwachstelle melden
Denken Sie, Sie haben einen Fehler in TechWatchAlert gefunden? Schreiben Sie an [email protected]. Diese Adresse wird auch im Standardformat security.txt (RFC 9116) veröffentlicht die Website sowie auf die Anwendung.
Umfang
- Im Geltungsbereich: die Website techwatchalert.com sowie die Anwendung und ihr API auf app.techwatchalert.com.
- Außerhalb des Geltungsbereichs: die Dienste unserer Unterauftragsverarbeiter (melden Sie diese dem betreffenden Anbieter), Denial-of-Service-Angriffe, Social Engineering und Berichte von automatisierten Tools ohne nachgewiesene Auswirkungen.
Testregeln
- Testen Sie mit Ihren eigenen Konten. Greifen Sie nicht auf die Daten anderer Benutzer zu oder ändern Sie diese nicht und bewahren Sie nur das auf, was für die Demonstration erforderlich ist.
- Automatisierte oder aufdringliche Tests (Scans, Fuzzing, Injektion) unserer Infrastruktur erfordern die vorherige schriftliche Genehmigung, wie in vorgesehen Artikel 12.3 der Nutzungsbedingungen: Schreiben Sie uns, bevor Sie sie ausführen.
- Geben Sie uns vor jeder Veröffentlichung Zeit, das Problem zu beheben, und lassen Sie uns gemeinsam den Termin vereinbaren.
Was für ein nützlicher Bericht enthält
- die betroffene Seite, Adresse oder der betroffene API-Endpunkt;
- die Schritte zur Reproduktion mit den entsprechenden Anfragen und Antworten;
- die Wirkung, die Sie nachweisen konnten;
- wie ich mich bei Ihnen melden kann.
Wozu wir uns verpflichten
Wir nehmen jede Meldung zur Kenntnis, halten Sie über deren Bearbeitung bis zur Behebung auf dem Laufenden und stimmen mit Ihnen den Veröffentlichungstermin ab. Wir ergreifen keine rechtlichen Schritte gegen Personen, die in gutem Glauben und im Rahmen dieser Regeln, wie in vorgesehen, gehandelt haben Artikel 12.2 der Nutzungsbedingungen.
TechWatchAlert in Ihrer NIS2-Bewertung
Wenn Ihre Organisation der NIS2-Richtlinie unterliegt, ist TechWatchAlert einer Ihrer Lieferanten: Artikel 21.2.d fordert Sie auf, die Sicherheit Ihrer Lieferkette zu berücksichtigen. Auf dieser Seite wird zusammengestellt, was eine solche Bewertung normalerweise von einem Lieferanten verlangt. Für einen Fragebogen oder eine Datenverarbeitungsvereinbarung (DPA), Schreiben Sie uns.
TechWatchAlert stellt auch Tools für einen Teil Ihrer eigenen Verpflichtungen bereit: Überwachung, die CERT-FR und EUVD umfasst, ein Register akzeptierter Risiken, Abhilfefristen, Lieferanten, Vorfälle. Was das Angebot abdeckt und was nicht.
FAQ
Verlassen meine Daten die Europäische Union?
Die Daten des Dienstes werden in Frankreich bei OVHcloud gehostet. Drei Unterauftragsverarbeiter sind außerhalb der Europäischen Union ansässig: Cloudflare, das den Webverkehr weiterleitet, und PostHog, das die Zielgruppe misst, sind Amerikaner; Paddle, das die Abrechnung übernimmt, ist britisch. Für jede dieser Übermittlungen gilt eine in der DSGVO vorgesehene Schutzmaßnahme, die in der Unterauftragsverarbeitertabelle aufgeführt ist.
Nutzen Sie meine Daten, um eine KI zu trainieren?
Nein. Wenn Sie den Vigie-Assistenten verwenden, werden Ihre Frage und der relevante technische Kontext an das kostenpflichtige API von Mistral AI weitergeleitet, das in der Europäischen Union gehostet wird. Gemäß den Bedingungen von Mistral AI werden diese Daten nicht zum Trainieren seiner Modelle verwendet und 30 Tage lang zur Missbrauchserkennung aufbewahrt.
Wartet die Zielgruppenmessung auf Ihre Zustimmung?
Teilweise. Ohne Ihre Zustimmung misst PostHog den Datenverkehr ohne Cookies oder Speicherung in Ihrem Browser, ohne Sitzungsaufzeichnung und ohne Verknüpfung mit Ihrem Konto. Mit Ihrer Zustimmung werden Cookies gesetzt, Sitzungen mit maskierten eingegebenen Feldern aufgezeichnet und in der Anwendung Ereignisse mit Ihrem Konto verknüpft.
Können wir einen Datenverarbeitungsvertrag (DPA) unterzeichnen?
Ja, auf Anfrage ab dem Team-Plan und wird mit dem Business-Plan signiert geliefert. Fragen Sie danach, mit Ihrer eigenen Vorlage, falls Sie eine haben; Ansonsten stellen wir unsere zur Verfügung.
Wie melde ich eine Schwachstelle?
Schreiben Sie an [email protected] und befolgen Sie dabei den Abschnitt „Melden einer Schwachstelle“ auf dieser Seite: Umfang, Testregeln und was ein nützlicher Bericht enthält.