Sicherheit und Infrastruktur

Document360 schützt Ihre Daten mit Unternehmenssicherheitsinfrastruktur, die auf Microsoft Azure, MongoDB Atlas und Algolia basiert – alles zertifizierte Partner mit branchenüblichen Verschlüsselungs- und Compliance-Kontrollen. Jede Ebene der Plattform – Datenspeicherung, Netzwerkverkehr, Backups und Inhaltslieferung – ist gesichert, sodass Ihre Wissensdatenbank und deren Inhalte vertraulich, verfügbar und wiederherstellbar bleiben. Dieser Artikel erklärt, wie Document360 Ihre Daten sichert, was seine Infrastrukturpartner tun und wie die Plattform die Geschäftskontinuität sicherstellt.

Sicherheitsinfrastruktur auf einen Blick

Die Sicherheitsarchitektur von Document360 umfasst die folgenden Ebenen:

Wie Document360 Ihre Daten speichert und schützt

Datenbank und Primärdaten

Ihre Inhalte und Projekteinstellungen in Ihrer Wissensdatenbank werden in einer entfernten MongoDB Atlas-Datenbank gespeichert, die als Drei-Knoten-Cluster konfiguriert ist, sodass durch hohe Verfügbarkeit keine Ausfallzeiten gewährleistet sind. Der gesamte Netzwerkverkehr wird mit TLS verschlüsselt, und die Ruhedaten werden in verschlüsselten Speichervolumina gespeichert.

MongoDB Atlas dedizierte Cluster werden in einer einzigartigen Virtual Private Cloud (VPC) mit dediziten Firewalls bereitgestellt, die den Zugriff von Drittanbietern auf Ihre Daten verhindern. Die Plattform unterzieht sich einer unabhängigen Überprüfung von Sicherheits-, Datenschutz- und Compliance-Kontrollen.

Weitere Informationen finden Sie in der Sicherheitsdokumentation MongoDB Atlas.

Backups

Projekt-Backups – einschließlich Einstellungen, Landingpages, Dokumentation und aller Projektinhalte – werden in Microsoft Azure Blob Storage an mehreren geografischen Standorten gespeichert. Backups werden täglich um 00:00 UTC automatisch aufgenommen und wie folgt gespeichert:

Du kannst auch jederzeit ein manuelles Backup innerhalb von Document360 auslösen. Jedes Backup kann wiederhergestellt werden, um Ihr Projekt in einen vorherigen Zustand zurückzuversetzen.

Azure Blob Storage schützt Backup-Daten mit:

• Verschlüsselung während des Transports – HTTPS sichert Daten während der Übertragung; Die Client-seitige Verschlüsselung sichert die Daten auf Ihrem Gerät, bevor sie den Server erreichen, wo sie bei Ankunft entschlüsselt werden.
• Verschlüsselung in Ruhe — Speicherseitige Verschlüsselung ist immer aktiviert und verschlüsselt automatisch die in Azure Storage geschriebenen Daten. Client-seitige Verschlüsselung fügt eine weitere Schutzebene hinzu.
• Fortschrittlicher Bedrohungsschutz — Erkennt ungewöhnliches Verhalten und potenziell schädliche Versuche, auf Ihr Speicherkonto zuzugreifen oder es auszunutzen.

Weitere Informationen finden Sie in der Sicherheitsdokumentation Azure Blob Storage.

Hosting und DDoS-Schutz

Document360 wird auf Microsoft Azure Cloud gehostet, das Schutz vor Distributed Denial of Service (DDoS)-Angriffen durch ständige Verkehrsüberwachung und Echtzeit-Minderung häufiger Angriffe auf Netzwerkebene bietet. Dienste und Daten werden in konformen Rechenzentren in Westeuropa und Mittel-USA gehostet.

Suche

Algolia, der Suchpartner von Document360, isoliert die Daten jedes Kunden in separaten Anwendungen, um Datenlecks zu verhindern und die Datenintegrität zu bewahren. Algolia API-Server verwenden HTTPS und TLS (1.0, 1.1 und 1.2), die von Qualys SSL Labs mit A bewertet wurden, und die Plattform ist SOC 2 und SOC 3 konform und folgt allen AICPA Trust Service Prinzipien.

Weitere Informationen finden Sie in der Sicherheitsdokumentation von Algolia.

Content-Bereitstellung, Caching und Update-Sichtbarkeit

Document360 verwendet Cloudflare-Edge-Caching für öffentlich zugängliche Wissensdatenbanken, um die Seitenladegeschwindigkeit zu verbessern, die Infrastrukturbelastung zu reduzieren und einen einheitlichen globalen Zugriff zu gewährleisten.

Kürzlich veröffentlichte oder aktualisierte Inhalte können aufgrund des Cache-Fensters für öffentliche Besucher kurz erscheinen. Wenn Inhalte am Rand von Cloudflare zwischengespeichert werden, sehen alle Besucher die gecachte Version während des Cache-Fensters – unabhängig vom Browser-, Gerät- oder Inkognitomodus. Die folgende Tabelle beschreibt das Cache-Verhalten nach Projekttyp:

Umgehen Sie den Cache, um Updates sofort anzusehen

Wenn Sie ein veröffentlichtes Update vor Ablauf des Caches verifizieren müssen, fügen Sie einen beliebigen Abfrageparameter an die Artikel-URL an. Cloudflare behandelt URLs mit unterschiedlichen Abfrageparametern als eindeutige Anfragen und ruft die neueste Version direkt ab, sodass Sie das neueste Update sofort nach der Veröffentlichung ansehen können.

Beispiel:

https://support.example.com/docs/article-name?refresh=1

Der Wert des Abfrageparameters kann alles sein – zum Beispiel ?test=1 oder ?cachebust=123.

Sicherheit von Rückkopplungs-Endpunkten

Das Feedback-Formular auf Ihrer Wissensdatenbank ist durch folgende Maßnahmen gegen böswillige Eingabe- und Injektionsversuche geschützt:

• Eingabevalidierung und HTML-Kontextkodierung verhindern clientseitige Injektionsangriffe.
• Prepared Statements werden für alle Datenbankinteraktionen verwendet, um SQL-Injektionsversuche daran zu hindern, Abfragen auszuführen.
• Systemfunktionen werden nicht verwendet, um benutzergesteuerte Eingaben zu verarbeiten oder auszuführen, wodurch das Risiko der Befehlseinfügung entfällt.
• CAPTCHA wird am Feedback-Endpunkt implementiert, um automatisierte Einreichungen zu blockieren.
• Die Tarifbegrenzung wird durchgesetzt, um Missbrauch zu verhindern.

Selbst wenn eine bösartige Nutzlast eingereicht wird, kann sie das System nicht ausführen oder beeinflussen.

Penetrationstest-Richtlinie

Document360 erlaubt keine vom Kunden initiierten Penetrationstests in seinen gemeinsamen (öffentlichen) Umgebungen. Da Document360 auf einer Multi-Tenant-SaaS-Infrastruktur arbeitet, könnten aktive Penetrationstests in gemeinsamen Umgebungen auch andere Kunden beeinflussen. Diese Einschränkung gilt einheitlich für alle Kunden.

Kunden müssen sicherstellen, dass:

• Interne Teams und Drittanbieter führen keine aktiven Tests gegen Document360-Systeme durch.
• Sicherheitstests sind ausschließlich auf Infrastruktur und Vermögenswerte beschränkt, die vom Kunden verwaltet werden.

Document360s eigene Sicherheitstests

Document360 führt im Rahmen seines laufenden Sicherheitsprogramms regelmäßige Penetrationstests und Sicherheitsbewertungen von Drittanbietern durch. Die folgenden Berichte stehen Kunden auf Anfrage zur Verfügung, um interne Audits, Compliance und Sicherheitsgovernance (einschließlich der Due Diligence der Gesundheitssicherheit) zu unterstützen:

• SOC 2 Berichte
• Penetrationstests und andere Sicherheitsbewertungsberichte

Privates Hosting für wiederkehrende Penetrationstests

Wenn Ihre Organisation jährliche oder wiederkehrende Penetrationstests benötigt, kann Document360 dies in einer Private Hosting (PH)-Umgebung ermöglichen, in der Tests andere Kunden nicht beeinflussen. Kontaktieren Sie Ihren Document360-Vertreter zur Koordination.

Compliance- und Risikodokumentation

Diese Richtlinie ermöglicht es Kunden, Folgendes ordnungsgemäß für interne Governance und Auditzwecke zu dokumentieren:

• Anbieterverwaltete Sicherheitstestabdeckung
• Kompensierende Steuerungen
• Risiko- und Prüfungsunterlagen

Kundenanfragen für Penetrationstests in gemeinsamen Umgebungen erhalten eine standardisierte Antwort, die mit dieser Richtlinie übereinstimmt.

Geschäftskontinuität und Katastrophenwiederherstellung

Document360 ist für hohe Verfügbarkeit und schnelle Wiederherstellung konzipiert.

• Mehrere Service-Knoten — Mehrere Instanzen jedes Dienstes laufen gleichzeitig, sodass, wenn ein Knoten ausfällt, die anderen weiterhin Anfragen ohne Unterbrechung bedienen.
• Geo-redundante Datenreplikation – Die Datenbank und die Datenspeicherung werden an verschiedenen geografischen Standorten repliziert, um regionale Ausfälle zu verhindern.
• Hochskalierbares DNS — Nutzer werden basierend auf Geo-Proximity-, Latenz- und Gesundheitsprüfungen zum besten Endpunkt weitergeleitet.
• Azure CDN — Anwendungs- und Kundendokumentation wird vom nächstgelegenen CDN-Knoten bereitgestellt, um eine schnelle globale Auslieferung zu gewährleisten.
• Vorfall- und Sicherheitsmanagement — Etablierte Verfahren umfassen Meldung, Nachverfolgung, Untersuchung und zeitnahe Kommunikation für jeden Vorfall oder Datenverstoß.

DevOps und Release-Prozess

Die Produktroadmap wird regelmäßig definiert und überprüft. Sicherheitsbehebungen werden priorisiert und in den frühmöglichen Sprint gebündelt. DevOps-Sprints beinhalten ein multidisziplinäres Team, darunter Product Owner, Director of Engineering, Entwickler und Qualitätssicherung. Jede Veröffentlichung läuft durch:

• Code-Review — Das QA-Team legt Kriterien fest und führt Code-Reviews, Web-Schwachstellentests und fortgeschrittene Sicherheitstests neben funktionalen Code-Reviews durch.
• Qualitätssicherung – Builds werden auf Funktionalität, Leistung, Stabilität und UX getestet, bevor sie für die Veröffentlichung zertifiziert werden.
• Versionskontrolle — Der Quellcode wird zentral verwaltet, wobei der Zugriff auf Team und Sprint beschränkt ist. Für alle Codeänderungen, Check-ins und Check-outs werden Aufzeichnungen geführt.
• Trennung der Aufgaben — Der Zugang zu Produktionsressourcen ist auf eine begrenzte Anzahl von Nutzern je nach Arbeitsrolle beschränkt.

DSGVO-Konformität

Document360 ist vollständig DSGVO-konform. Nur die für die Erbringung seiner Dienstleistungen erforderlichen Daten werden gesammelt und gespeichert, und das nur mit ausdrücklicher Zustimmung des Kunden.

Details finden Sie auf der DSGVO-Compliance-Seite von Document360.

FAQ