Das Unternehmen hat einen Informationssicherheitsmanager ernannt, der direkt an einen leitenden Angestellten des Unternehmens berichtet.

Eine Reihe von Richtlinien und Standards zur Informationssicherheit wird dokumentiert, genehmigt und regelmäßig aktualisiert.

Das Unternehmen hat eine Cyber-Versicherung.

Zuverlässigkeitsüberprüfungen für neue Mitarbeiter werden durchgeführt, sofern dies nach lokalem Recht zulässig ist.

Die Mitarbeiter des Unternehmens verpflichten sich zur Einhaltung der Grundsätze des Datenschutzes und der Informationssicherheit.

Mitarbeiter mit Zugang zu personenbezogenen Daten unterliegen der Vertraulichkeit auf der Grundlage von Geheimhaltungsvereinbarungen (NDA) oder gleichwertigen Klauseln.

Bei Kündigung werden den Mitarbeitern die Zugangsrechte entzogen und sie werden an ihre Sicherheitspflichten erinnert.

Das Unternehmen legt sicherheitsbezogene Ziele als Unternehmensziele fest und handelt, um das Bewusstsein für Fragen der Informationssicherheit und des Datenschutzes zu schärfen.

Regelmäßige Sicherheits- und Datenschutzschulungen und Sensibilisierungsmaßnahmen werden für alle Mitarbeiter durchgeführt.

Die Cloud-Umgebung des Unternehmens wird von AWS gehostet und unterstützt. Weitere Informationen zur physischen Sicherheit finden Sie unter AWS-Sicherheitskontrollen.

Daten im Ruhezustand und bei der Übertragung werden mit branchenüblichen Verschlüsselungsalgorithmen verschlüsselt.

Verwendung von Firewalls (sowohl Netzwerk als auch Anwendung) und Authentifizierungssystemen.

Der administrative Zugriff auf die Cloud-Infrastruktur ist mit sicheren Passwörtern, aktivierter 2FA und Fernzugriff über VPN und SSH-Tunneling gesichert.

Vollständige Trennung von Produktionsnetzwerk und Cloud-Ressourcen (VPC) von Test- und Entwicklungsumgebungen.

Einsatz von Einbruchmeldesystemen, sowohl netzwerkbasiert (NIDS) als auch hostbasiert (HIDS).

Die gesamte ausgehende TCP-Kommunikation ist TLS-verschlüsselt.

Personenbezogene Daten, die vom Unternehmen gespeichert und verarbeitet werden, werden gemäß den besten Geschäftspraktiken ähnlicher Unternehmen in ähnlichen Branchen angemessen gesichert.

Der Zugriff auf personenbezogene Daten von Kunden ist auf das Erfordernis beschränkt.

Starke Passwörter werden durchgesetzt, gespeicherte Passwörter werden vollständig gehasht und verschlüsselt.

Anonymisierung/Pseudonymisierung personenbezogener und/oder sensibler Daten, sofern dies gemäß den technischen oder geschäftlichen Anforderungen zur Erbringung der Dienstleistung und/oder zur Einhaltung gesetzlicher Vorschriften erforderlich ist.

Das Unternehmen stellt keine personenbezogenen Daten und/oder Geschäftsdaten der Nutzer zur Verfügung, es sei denn, die Identität des Kontoinhabers wurde ordnungsgemäß überprüft.

Kundendaten werden nur so lange gespeichert, wie das Unternehmen und der Kunde eine aktive Vereinbarung getroffen haben und solange sie den Zwecken dienen, für die die Daten erhoben wurden.

Gesichertes Verfahren zur Löschung personenbezogener Daten bis zum Ende der Aufbewahrungsfrist und/oder auf Abruf.

Unterauftragsverarbeiter werden auf der Grundlage der Vertraulichkeit der Daten und/oder der personenbezogenen Daten, auf die sie zugreifen, einer Überprüfung der Informationssicherheit und des Datenschutzes des Anbieters unterzogen und sind verpflichtet, die Sicherheitsanforderungen des Anbieters zu erfüllen.

Firmen-Laptops sind mit Anti-Malware- und Antivirensoftware ausgestattet.

Firmen-Laptops sind mit einer Verwaltungslösung ausgestattet, die die Sicherheitsrichtlinien des Unternehmens für Laptops durchsetzt.

Regelmäßige Schwachstellenscans von Open-Source-Paketen (SCA), Code (SAST), Webanwendungen (DAST) und Cloud-Infrastruktur.

Ein Prozess für Softwareupdates (d. h. Patch-Management) ist eingerichtet, um identifizierte Sicherheitslücken gemäß der Risikobewertung rechtzeitig zu beheben.

Der Einsatz von Protokollierungs-, Überwachungs- und Warnsystemen.

Fortschrittliche Systeme zur Abwehr von Denial-of-Service-Angriffen (DoS/DDoS).

Die Verwendung von Cloud-Computing-Zonen mit hoher Verfügbarkeit an mehreren geografischen Standorten.

Die Verfahren zur Notfallwiederherstellung (DR) sind gut dokumentiert und werden regelmäßig überprüft und aktualisiert.

Reguläre Backups werden sicher in einer separaten Cloud-Umgebung gespeichert und können bei Bedarf wiederhergestellt werden.

Regelmäßige und bedarfsgerechte Penetrationstests.

Duda unterhält ein nach ISO/IEC 27001:2022 zertifiziertes Informationssicherheitsmanagementsystem.

Duda hat eine SOC 2-Prüfung Typ II abgeschlossen, die die Kriterien für Vertrauensdienste in den Bereichen Sicherheit, Verfügbarkeit und Vertraulichkeit für die Duda Website Builder-Plattform abdeckt.

Der Zugriff auf Marketing Automation-Funktionen und die zugehörigen Kundendaten ist auf der Grundlage autorisierter Benutzerberechtigungen eingeschränkt.

Marketing Automation unterstützt die Protokollierung von Kampagnen- und Lieferaktivitäten sowie Kontrollen zur Verwaltung der Abmelde- und Unterdrückungsanforderungen über unterstützte Workflows.

Kontakt-, Kampagnen-, Einwilligungs-, Unterdrückungs- und zugehörige Marketing Automation-Daten unterliegen den geltenden Kontrollen zur Aufbewahrung und Löschung von Daten.

Die Nutzung von Diensten für künstliche Intelligenz von Drittanbietern unterliegt den Sicherheits-, Datenschutz- und Lieferantenbewertungsanforderungen von Duda.

Wenn personenbezogene Kundendaten von zugelassenen KI-Anbietern verarbeitet werden, wendet Duda Datenminimierung, Zugriffskontrollen sowie vertragliche und/oder technische Kontrollen an, um zu verhindern, dass solche Daten zum Training allgemeiner oder kundenübergreifender KI-Modelle verwendet werden, sofern nicht ausdrücklich etwas anderes genehmigt wurde.