Sicherheitsmaßnahmen

Algolia implementiert und pflegt Sicherheitsmaßnahmen, die die für ein SOC-2-Audit erforderlichen Sicherheitsziele erfüllen oder übertreffen. Algolia kann die Sicherheitsmaßnahmen von Zeit zu Zeit aktualisieren oder ändern, sofern diese Aktualisierungen und Änderungen nicht zu einer Beeinträchtigung der Gesamtsicherheit der Dienste führen. Diese Sicherheitsmaßnahmen treten am Datum des Inkrafttretens der DPA in Kraft. Großgeschriebene Begriffe, die hier verwendet, aber nicht anderweitig definiert werden, haben die ihnen in der DPA zugewiesene Bedeutung.

Programm zur Informationssicherheit

1) Sicherheit von Rechenzentren und Netzwerken

1. Rechenzentren
   1. Infrastruktur.Algolia unterhält geografisch verteilte Rechenzentren und speichert alle Produktionsdaten in physisch gesicherten Rechenzentren.
   2. Redundanz.Die Infrastruktur von Algolia wurde so konzipiert, dass einzelne Ausfallquellen vermieden und die Auswirkungen vorhersehbarer Umweltrisiken minimiert werden. Dank dieser Konzeption kann Algolia Wartungsarbeiten und Verbesserungen an der Infrastruktur mit minimalen Auswirkungen auf die Produktionssysteme durchführen. Für alle Anlagen und Einrichtungen in der Umgebung gibt es dokumentierte Verfahren zur vorbeugenden Wartung, in denen der Ablauf und die Häufigkeit der Durchführung gemäß den Herstellerangaben oder internen Vorgaben detailliert festgelegt sind.
   3. Stromversorgung.Alle Rechenzentren sind mit einem redundanten Stromversorgungssystem ausgestattet, das verschiedene Mechanismen zur Notstromversorgung umfasst, darunter unterbrechungsfreie Stromversorgungen (USV) mit Batterien für kurzzeitige Stromausfälle, Überspannung, Unterspannung oder sonstige Schwankungen in der Stromversorgung sowie Dieselgeneratoren für Ausfälle, die sich über mehrere Minuten erstrecken. Dadurch können die Rechenzentren tagelang weiterbetrieben werden.
   4. Server-Betriebssystem.Algolia nutzt für die Anwendungsumgebung ein Linux-basiertes Betriebssystem mit einer zentral verwalteten Konfiguration. Algolia hat Richtlinien festgelegt, um die Systeme stets auf dem neuesten Stand zu halten und die erforderlichen Sicherheitsupdates zu installieren.
   5. Geschäftskontinuität.Algolia repliziert Daten auf mehrere Systeme, um sie vor versehentlicher Zerstörung oder Verlust zu schützen. Algolia hat seine Pläne zur Geschäftskontinuität sowie seine Notfallwiederherstellungsprogramme entwickelt und führt regelmäßig Planungen und Tests dazu durch.
2. Netzwerk und Übertragung
   1. Datenübertragung.Algolia verwendet branchenübliche Verschlüsselungsverfahren und -protokolle, um die Datenübertragung zwischen den Rechenzentren zu verschlüsseln. Damit soll verhindert werden, dass die Daten gelesen, kopiert oder verändert werden.
   2. Angriffserkennung.Algolia nutzt ein System zur Angriffserkennung, um Einblicke in laufende Angriffsaktivitäten zu gewinnen und die Beseitigung der Angriffe zu beschleunigen.
   3. Reaktion auf Sicherheitsvorfälle.Die Mitarbeiter der Sicherheits- und Betriebsabteilungen von Algolia reagieren umgehend auf festgestellte Sicherheitsvorfälle und informieren die betroffenen Parteien.
   4. Verschlüsselungstechnologien.Die Server von Algolia unterstützen HTTPS-Verschlüsselung, den Austausch von kryptografischen Schlüsseln nach dem Diffie-Hellman-Verfahren mit elliptischen Kurven, die mit RSA und ECDSA signiert sind, sowie für unterstützte Clients auch Methoden der „Perfect Forward Secrecy“ (PFS), um den Datenverkehr vor kompromittierten Schlüsseln oder kryptografischen Durchbrüchen zu schützen. Algolia verwendet ausschließlich Verschlüsselungstechnologien nach Industriestandard.

2) Zugriffs- und Standortkontrollen

1. Baustellenkontrolle
   1. Sicherheitsmaßnahmen in Rechenzentren.Alle von Algolia genutzten Rechenzentren verfügen über einen rund um die Uhr besetzten Sicherheitsdienst vor Ort, der für alle Aspekte der physischen Sicherheit des Rechenzentrums zuständig ist.
   2. Zugangsverfahren für das Rechenzentrum.Der Zugang zum Rechenzentrum erfolgt gemäß den Richtlinien zur physischen Sicherheit von Algolia, wonach ausschließlich vorab genehmigtes, autorisiertes Personal Zugang zu den Anlagen von Algolia erhält.
   3. Sicherheit der Rechenzentren.Alle Rechenzentren erfüllen die Sicherheitsanforderungen von SOC2 oder übertreffen diese sogar. Alle Rechenzentren sind mit Videoüberwachung, Sicherheitspersonal vor Ort und einem Zugangssystem mit Schlüsselkarten ausgestattet.
   4. Zugriffskontrolle
      1. Zugriffskontrolle und Berechtigungsverwaltung.Die Administratoren des Abonnenten müssen sich über ein zentrales Authentifizierungssystem oder über ein Single-Sign-On-System authentifizieren, um die Dienste verwalten zu können.
      2. Interne Prozesse und Richtlinien zum Datenzugriff – Zugriffsrichtlinie.Die internen Prozesse und Richtlinien von Algolia zum Datenzugriff sind darauf ausgelegt, zu verhindern, dass unbefugte Personen oder Systeme Zugriff auf Systeme erhalten, die zur Verarbeitung personenbezogener Daten genutzt werden. Diese Prozesse werden von einem unabhängigen Prüfer überprüft. Algolia setzt ein zentralisiertes Zugriffsmanagementsystem ein, um den Zugriff auf Produktionssysteme und Server zu kontrollieren, und gewährt den Zugriff nur einer begrenzten Anzahl autorisierter Mitarbeiter. Zur Gewährleistung sicherer Zugriffsmechanismen kommen SSO, LDAP und SSH-Zertifikate zum Einsatz. Algolia schreibt die Verwendung eindeutiger IDs, sicherer Passwörter und einer Zwei-Faktor-Authentifizierung vor. Die Gewährung von Zugriffsrechten erfolgt gemäß einer internen Richtlinie. Der Zugriff auf das System wird protokolliert, um einen Prüfpfad zur Nachvollziehbarkeit zu gewährleisten.

3) Daten

1. Datenspeicherung, Isolierung und Protokollierung.Algolia speichert Daten in einer Kombination aus dedizierten und mandantenfähigen Umgebungen auf von Algolia kontrollierten Servern. Die Daten werden auf mehreren redundanten Systemen repliziert. Algolia isoliert die Daten des Abonnenten zudem logisch. Der Abonnent kann die gemeinsame Nutzung von Daten aktivieren, sofern die Funktionalität der Dienste dies zulässt. Der Abonnent kann bestimmte Protokollierungsfunktionen nutzen, die Algolia über die Dienste zur Verfügung stellt.
2. Richtlinie zur Außerbetriebnahme und Löschung von Festplatten.Bei Festplatten, die in Servern eingesetzt werden, können Hardwareausfälle, Leistungsprobleme oder Fehler auftreten, die zu ihrer Außerbetriebnahme führen. Alle außer Betrieb genommenen Festplatten werden sicher gelöscht, wenn sie zur Wiederverwendung vorgesehen sind, oder aufgrund von Funktionsstörungen sicher vernichtet.

4) Personensicherheit 

Die Mitarbeiter von Algolia sind verpflichtet, sich in Übereinstimmung mit den Unternehmensrichtlinien zu Vertraulichkeit, Geschäftsethik, angemessener Nutzung und beruflichen Standards zu verhalten. Algolia führt im Rahmen der geltenden Gesetze und Vorschriften angemessene Hintergrundüberprüfungen durch. Die Mitarbeiter sind verpflichtet, eine Vertraulichkeitsvereinbarung zu unterzeichnen und den Erhalt sowie die Einhaltung der Richtlinien von Algolia zu Vertraulichkeit, Datenschutz und akzeptabler Nutzung zu bestätigen. Alle Mitarbeiter erhalten bei ihrer Einstellung eine Sicherheitsschulung und werden anschließend regelmäßig weitergeschult. Die Mitarbeiter von Algolia verarbeiten keine Abonnentendaten ohne entsprechende Genehmigung.

5) Sicherheit bei Unterauftragsverarbeitern 

Algolia führt vor der Einbindung von Unterauftragsverarbeitern Prüfungen ihrer Sicherheits- und Datenschutzpraktiken durch, um ein angemessenes Sicherheits- und Datenschutzniveau für die Daten sowie für den Umfang der von ihnen zu erbringenden Dienstleistungen sicherzustellen. Sobald die Prüfung des Unterauftragsverarbeiters durchgeführt und das damit verbundene Risiko bewertet wurde, schließt der Unterauftragsverarbeiter entsprechende vertragliche Vereinbarungen zu Datenschutz, Vertraulichkeit und Sicherheit ab.

Sicherheitszertifizierungen und -berichte

1) ServiceOrganization Control (SOC)-Berichte: Derzeit wird das für die Dienste geltende Kontrollumfeld zur Informationssicherheit von Algolia einer unabhängigen Bewertung in Form von SOC-2- und SOC-3-Prüfungen unterzogen. Um die Einhaltung der Sicherheitsmaßnahmen nachzuweisen, stellt Algolia dem Abonnenten den jeweils aktuellen (i) SOC-2-Bericht und (ii) SOC-3-Bericht, wie nachstehend beschrieben, zur Einsicht zur Verfügung.

1. „SOC-2-Bericht“bezeichnet einen vertraulichen Service Organization Control (SOC)-2-Bericht über die Systeme von Algolia, in dem logische Sicherheitskontrollen, physische Sicherheitskontrollen und die Systemverfügbarkeit geprüft werden und der von einem unabhängigen externen Prüfer von Algolia im Zusammenhang mit den Diensten erstellt wurde.
2. „SOC-3-Bericht“bezeichnet einen Service Organization Control (SOC)-3-Bericht, der von einem unabhängigen externen Wirtschaftsprüfer von Algolia in Bezug auf die Dienste erstellt wurde.
3. Algolia wird entweder den SOC-2-Bericht und den SOC-3-Bericht mindestens alle 18 Monate aktualisieren oder vergleichbare Prüfungen oder Zertifizierungen durchführen, um die fortdauernde Wirksamkeit der Sicherheitsmaßnahmen zu bewerten und sicherzustellen.

2) Zertifizierung nach ISO 27001 und ISO 27017:Im März 2020 erhielt Algolia die Zertifizierungen nach ISO 27001 und ISO 27017. Dabei handelt es sich um eine Familie von Normen für Informationssicherheits-Managementsysteme, die Empfehlungen zu bewährten Verfahren im Bereich des Informationssicherheitsmanagements enthalten, einschließlich eines Rahmens aus Richtlinien und Verfahren, der alle rechtlichen, physischen und technischen Kontrollmaßnahmen umfasst, die im Informationsmanagementprozess einer Organisation eine Rolle spielen, sowie um Sicherheitsstandards, die speziell für Cloud-Dienstleister und -Nutzer entwickelt wurden, um eine sicherere cloudbasierte Umgebung zu schaffen bzw. das Risiko von Sicherheitsproblemen zu verringern.

3)TRUSTe-Zertifizierung:Algolia wurde mit dem TRUSTe-Zertifizierungssiegel ausgezeichnet. Dies bedeutet, dass die Datenschutzerklärung auf der Website von Algolia sowie die Datenschutzpraktiken im Zusammenhang mit den Diensten von TRUSTe auf die Einhaltung der TRUSTe-Zertifizierungsstandards überprüft wurden.