Sikkerhed hos Crowdin

Organisatorisk sikkerhed

Crowdins krav til informationssikkerhed gælder for hele organisationen og er obligatoriske for alle medarbejdere og for dem, som er involveret i disse forretningsprocesser. ISMS er bygget på tre søjler: Folk, processer og teknologi. En dedikeret Informationssikkerhedschef (Chief Information Security Officer - CISO) er ansvarlig for at sikre korrekt beskyttelse af informationsaktiver og -teknologier.

Sikkerhedsuddannelse og bevidstgørelse

Hos Crowdin gennemfører alle medarbejdere løbende sikkerheds- og bevidstgørelsesuddannelse i løbet af året. Hvert nyt teammedlem fuldfører grundlæggende sikkerhedsuddannelse inden for den første måneds ansættelse. Der udføres regelmæssig adgangsrevisioner, adgangskodeopdateringer og opereres efter princippet om det mindst privilegium. Rollespecifik sikkerhedsuddannelse er også påkrævet.

Hardwaresikkerhed

Alle medarbejderbærbare har krypterede harddiske. Kun den udpegede systemadministrator udfører hard- og softwareinstallation, opsætning eller ændringer. Levering, fjernelse af udstyr til/fra datacenterfaciliteten er tilladt, logget og overvåget. Brugerspecifikke adgangsoplysninger (f. eks. bruger-ID/-adgangskodepar mv.) kræves for at få adgang til arbejdsstationsudstyr, tjenester og apps.

Fysisk sikkerhed

Crowdins kontor overvåges og beskyttes af et alarmsystem, herunder brandalarmer. Closed-circuit (CCTV) kameraer er installeret på tværs af kontoret og optager ind- og udgange samt andre udpegede områder. Crowdins medarbejdere har ikke fysisk adgang til nogen del af af produktionsfaciliteter, da hele infrastrukturen er cloud-baseret. Sikre områder beskyttes med adgangskontrol, så kun godkendt personale tillades adgang.

Netværkssikkerhed

Interne netværk er pålagt restriktioner, segmenteret, adgangskodebeskyttet, og alle netværkssikkerhedsrelaterede begivenheder logges.

Softwaresikkerhed

På 24/7/365-basis beskæftiger Crowdin et team af serverspecialister mhp. at holde software og deres afhængigheder opdaterede og fjerne potentielle sikkerhedsrisici. Overvågningsløsninger er implementeret mhp. at imødegå ethvert webstedsangreb.

Hændelsesrespons

Crowdin implementerer en håndteringsprotokol for sikkerhedshændelser, som omfatter eskaleringsprocedurer, hurtig afbødning og post mortem. Alle medarbejdere er informeret om vores politikker.

Medarbejdervurdering

Crowdin foretager i overensstemmelse med lokal lovgivning baggrundstjek af alle nye medarbejdere, entreprenører og andre personer, som har adgang til systemer, netværket eller fysiske datacenterfaciliteter.

Tredjeparts- og Leverandørsikkerhed

Crowdin opretholder leverandørrisikostyringspraksis for at sikre, at tredjeparter undersøges og opretholder forventede niveauer af sikkerhedskontrol. Se Liste over underbehandlere.

Sikker og pålidelig infrastruktur

Crowdin bruger Amazon Web Services (AWS) datacentre til computerinfrastrukturen. AWS er ISO 27001 certificeret og har gennemført flere SSAE 16 revisioner. For mere information om deres sikkerhedsforanstaltninger, tjeksiden AWS Cloud Security.

Udover fordelene med AWS, har vores applikation yderligere indbyggede sikkerhedsfunktioner:

• To-faktor autentificering
• Single Sign On via SAML 2.0
• REST API-godkendelse (API-nøgle)
• Rollebaserede tilladelser
• Sikkerhedskopier og versionering
• Crowdin håndhæver en adgangskodekompleksitets standard

PCI-forpligtelser

Ved registrering af en betalt Crowdin-konto, lagres ingen kundefaktureringsoplysninger på virksomhedens servere. Alle betalinger til Crowdin går gennem finanspartneren FastSpring, der overholder PCI's sikkerhedsstandard. Flere detaljer om deres sikkerhedsopsætning kan findes på Stripes Risk Management + Compliance side.

Oppetid

Tjek seneste måneds statistik på https://status.crowdin.com/. Der kan anmodes om en SLA-aftale som en separat tjeneste. For dette, kontakt Onboarding-teamet via onboarding@crowdin.com

Dataadgang

Kundedataadgang er begrænset til godkendte medarbejdere i arbejdsmæssig relation. Et eksempel på dette er supportteamet. Supportteammedarbejdere kan kun have adgang til de filer eller indstillinger, som er nødvendige for at løse problematikker indsendt af kunderne.

Forretningskontinuitet og Disaster Recovery

Der er implementeret planer for både Disaster Recovery og Forretningskontinuitet, som regelmæssigt aftestes og opdateres.

Penetrationstest

Crowdin foretager årligt penetrationstestning udført af et uafhængigt, tredjeparts sikkerhedsfirma. Ingen kundedata tilgængeliggøres for firmaet under testningen. En oversigt over penetrationstestresultaterne er tilgængelige for Enterprise-kunder på foranledning.

Har man spørgsmål om sikkerhed på Crowdin eller ønsker at indsende en sårbarhedsanmeldelse, så kontakt supportteamet via support@crowdin.com.

Der vil blive samarbejdet med kunden om at vurdere problematikken og behandle evt. bekymringer fuldt ud. E-mails om sikkerhedsproblemematikker behandles med højeste prioritet. Tryghed og sikkerhed for vores tjeneste er topprioriteter.