Sicherheit & Vertrauen

Städte, Verkehrsbetriebe und Mobilitätsunternehmen vertrauen Remix ihre verkehrsbezogenen Daten an. Als Beweis unseres Engagements für die Datensicherheit sind wir jetzt SOC-2-konform und können unseren aktuellen Prüfbericht aktuellen und potenziellen Kunden und Partnern auf Anfrage zur Verfügung stellen.

Auf dieser Seite erfahren Sie, wie wir unsere Plattform, die darin gespeicherten Daten und die Personen, die von ihr abhängig sind, schützen.

Plattform

ANWENDUNGS- UND RECHENZENTRUMSSICHERHEIT

21. Mai 2020

Die gesamte Anwendungsinfrastruktur für Remix wird derzeit von Amazon Web Services (AWS) und Heroku, einer Tochtergesellschaft von Salesforce, verwaltet. Alle Daten werden in von Amazon verwalteten Rechenzentren gespeichert. Diese Rechenzentren haben ISO 27001- und SOC-Zertifizierungen, die Federal Information Security Management Act (FISMA) Moderate Authorization und die Akkreditierung der U.S. General Services Administration erhalten.

Mehr zu Amazon Web Services Compliance und Sicherheit

Mehr zur Sicherheitspolitik von Heroku

DATENISOLIERUNG

Sensible Daten werden in einer isolierten, gesicherten Umgebung in AWS aufgenommen, verarbeitet und gespeichert, die als Partnerdatenkonto bezeichnet wird. Die Aggregation erfolgt innerhalb des Partnerdatenkontos, und nur die aggregierten Daten verlassen dieses Konto. Der isolierte Account erfordert zusätzliche Schritte, auf die Remix-Entwickler zugreifen können, einschließlich eines schriftlichen Genehmigungsprozesses und einer speziellen Schulung.

NETZWERKSICHERHEITSÜBERWACHUNG

Unsere Cloud-Provider und das zentrale Protokoll- und Alarmierungssystem bieten Intrusion Detection-Funktionen, die uns bei verdächtigem und bösartigem Verhalten alarmieren. Die Feeds umfassen Informationen von Netzwerkereignissen, systeminternen Ereignissen und Schwachstellen-/Bedrohungsinformationen.

GESICHERTE DATENÜBERTRAGUNG

Unsere APIs und Web-Front-Ends sind alle so konfiguriert, dass sie die neueste TLS-Version verwenden (sobald sie von Browsern und unseren Cloud-Hosting-Providern weitgehend unterstützt werden), auf ein gültiges, signiertes, domänenspezifisches Zertifikat prüfen und einen starken Satz kryptografischer Protokolle verwenden. Unsere Philosophie der standardmäßigen Verschlüsselung bedeutet auch, dass wir keinen Rückgriff auf unverschlüsselte Kommunikation (z.B. https -> http) unterstützen.

DATENKLASSIFIZIERUNG

Wir klassifizieren die Daten nach Art und Empfindlichkeit und legen anhand dieser Klassifizierung fest, welche Systeme zum Zugriff und zur Speicherung der verschiedenen Datentypen berechtigt sind. Die Einstufung der Datenempfindlichkeit wird bei der Risikobewertung verwendet, um das angemessene Niveau der Sicherheitskontrollen zu bestimmen.

DATENBANK-ZUGRIFFSKONTROLLEN

Remix hat eine Richtlinie, die den direkten Zugriff auf Datenbanken und Backups auf Remix-Ingenieure beschränkt. Der Zugang zu sensiblen Daten ist strikt auf Personen beschränkt, die diese für ihre Arbeit benötigen. Wir überprüfen regelmäßig den Zugang und die Personen, die keinen Zugang mehr benötigen. Jeder Entwickler verfügt über eindeutige Berechtigungsnachweise und eine 2-Faktor-Authentifizierung wird durchgesetzt.

LAGERUNGSSICHERHEIT

Remix verwendet AWS und Heroku zur Speicherung von Kundendaten und Dokumenten. Diese Datenbanken sind auf Netzwerkebene über Virtual Private Clouds (VPCs) isoliert und der Zugriff wird über Access Control Lists (ACLs) gesteuert. Unsere Politik ist es, automatisch jeglichen Datenverkehr zu verweigern, der nicht ausdrücklich zu oder von einer Datenbank zugelassen ist. Zusätzlich zur Netzwerkisolierung werden alle Daten im Ruhezustand und während der Übertragung verschlüsselt.

Mehr über Amazon VPCs

Mehr über Heroku Private Spaces

Menschen

ROLLENBASIERTE ZUGANGSKONTROLLE

Remix verwendet rollenbasierte Zugriffskontrollen, um den Zugriff auf Server mit Anwendungsdaten zu verwalten. Diese Kontrollen sind so konzipiert, dass autorisierte Mitarbeiter mit individuellen Konto- und Authentifizierungsdaten Zugang erhalten. Remix kontrolliert den Zugriff auf Server und Datenspeicher durch Authentifizierung, die mit schlüsselbasierten SSH-Sitzungen abgewickelt wird. Wir arbeiten nach dem Prinzip des geringsten Privilegs, das darauf ausgerichtet ist, dass der Zugang zu einem System nur dann gewährt wird, wenn er unbedingt erforderlich ist, um ein legitimes Geschäftsbedürfnis zu befriedigen. Unsere Politik ist, dass die Mitarbeiter nur Zugang zu den Daten und Systemen haben, die sie für ihre Arbeit benötigen. 

Remix schult das Sicherheitsbewusstsein aller Mitarbeiter. Remix stellt sicher, dass sich nur autorisiertes Personal einloggt und der Zugang rechtzeitig entfernt wird.

CODE-ZUGRIFF

Die Remix-Codebasis wird derzeit in GitHub gespeichert und erfordert eine Multi-Faktor-Authentifizierung und eine teambasierte Berechtigung zum Anzeigen oder Bearbeiten. Alle Änderungen an der Codebasis werden mit dem Namen des Änderers, dem Zeitpunkt und der genauen Angabe der geänderten Codezeilen protokolliert. Alle Änderungen am Code, der auf den Produktionsservern läuft, werden vor der Bereitstellung einer Peer-Review unterzogen, wobei der Sicherheit besondere Aufmerksamkeit gewidmet wird. Für alle Änderungen am produktiven Code wird ein Audit-Trail geführt.

EINZELCOMPUTER

Alle Computer des Unternehmens sind mit Passwortschutz und verschlüsselten Festplatten ausgestattet.

ANWENDERAUTHENTIFIZIERUNG

Remix-Benutzer müssen sich mit einer E-Mail und einem Passwort authentifizieren. Passwörter werden nur als einseitig kryptografisch gesalzene Hashes gespeichert, und niemals im Klartext.

PERSONELLE SICHERHEIT

Remix hat die Einstellungsrichtlinien und -verfahren, das Leistungsmanagement und die Kündigungspraxis formalisiert. Der Zugang zu den Unternehmenssystemen wird so schnell wie möglich wieder aufgehoben, sobald er nicht mehr benötigt wird. Remix führt, soweit gesetzlich zulässig, umfassende Background Checks vor der Anmietung durch.

Prozess

SICHERHEIT IN DER ANWENDUNGSENTWICKLUNG

Unsere Entwickler überprüfen sichere Kodierungsstandards, die für die Umgebungen, Sprachen und Plattformen, in denen sie arbeiten, gelten. Diese Standards können die Sicherstellung der Zugriffskontrolle auf Daten, die Bereinigung von Eingabe-/Ausgabewerten und die Protokollierung von Verletzungen, die auf einen Angriff oder eine Sicherheitslücke hinweisen könnten, umfassen.

DATENRÜCKSTELLUNG

Remix ist bestrebt, ein verantwortlicher Verwahrer der Kundendaten zu sein und löscht alle Kundendaten auf Wunsch oder bei Beendigung der Beziehung von Remix mit dem Kunden. 

BERECHTIGUNGSMANAGEMENT

Wir verwenden derzeit den AWS Secrets Manager und den AWS Parameter Store zur Speicherung und Verwaltung aller Geheimnisse im Partnerdatenkonto. Die Geheimnisse werden automatisch nach einem regelmäßigen Zeitplan rotiert. Alle Geheimnisse werden im Ruhezustand verschlüsselt, wobei Signierschlüssel verwendet werden, die über den AWS Key Management Service verwaltet werden, und bei der Übertragung über TLS-gesicherte Verbindungen verschlüsselt werden. Der Zugang zu bestimmten Geheimnissen ist auf die Dienste, die Zugang benötigen, und die Remix-Ingenieure, die diese Dienste unterhalten, beschränkt.

SCHWACHSTELLENBEWERTUNGEN

Remix zieht in regelmäßigen Abständen ein externes Team hinzu, um unsere Sicherheit zu testen, einschließlich Audits zur SOC-2-Konformität und Penetrationstests. Die Bewertungen basieren auf aktuellen Angriffstrends und der Verifizierung von Best Practices (z.B. OWASP Top 10). Die Ergebnisse werden von unseren technischen Teams überprüft und korrigiert.

AUFPRÜFUNG

Es ist unsere Politik, alle Aktionen eines Benutzers oder eines Dienstes (unter Verwendung einer Rolle) zu protokollieren und diese Protokolle automatisch an AWS CloudTrail zu melden.

 

Datenschutz

ANSCHLUSS

Die Plattform von Remix soll Städten helfen, Erkenntnisse über Fahrzeuge, Flotten und Bewegungsmuster zu gewinnen, nicht aber, Menschen zu verfolgen. Remix möchte sicherstellen, dass die Karten, Berichte und Statistiken, die wir unseren Kunden zeigen, nicht das Reiseverhalten identifizierbarer Personen offenbaren. Durch die Analyse und Kombination von Daten über individuelle Reisen geben wir Städten vertrauenswürdige, überprüfbare Einblicke und schützen gleichzeitig die Privatsphäre. Wir arbeiten nur mit Daten, die keine individuellen Identifikatoren enthalten, und wir versuchen nie, Personen in anonymisierten Daten erneut zu identifizieren.

Erfahren Sie mehr darüber, wie wir Mobilitätsdaten aggregieren.


DATENVERWENDUNG

Unsere Mission ist es, mehr lebenswerte Städte zu bauen. Wir stellen Softwarewerkzeuge her, die Städte nutzen, um multimodale städtische Verkehrssysteme zu verstehen und die Sicherheit, den Zugang zur Mobilität und die Nachhaltigkeit in ihren Gemeinden zu verbessern. Wo diese Tools Mobilitätsdaten enthalten, regeln unsere Verträge mit Städten und Mobilitätsunternehmen unseren Zugang zu den Daten und schränken ein, was wir mit den Daten tun können und was nicht.

Wir erhalten unsere Einnahmen aus dem Bau von großartiger Technologie und Dienstleistungen. Werbung ist nicht Teil unseres Geschäftsmodells, und wir verkaufen keine individuellen Reisedaten oder andere persönliche Informationen.

Erfahren Sie mehr darüber, wie wir Mobilitätsdaten verwenden (und nicht verwenden).


DATENVERBINDUNG

Wir sammeln nicht direkt Reisedaten von Einzelpersonen. Remix hat vertragliche Verpflichtungen gegenüber Stadtkunden und Mobilitätsunternehmen, die unsere Fähigkeit regeln, verschiedene Daten, die uns zur Verfügung gestellt werden, zu sammeln, zu verwenden, weiterzugeben, zu sichern und zu löschen.