Sicherheit & Vertrauen
Vor dem Bau klären wir, welche Daten fließen, wer Zugriff benötigt, welche Systeme beteiligt sind und welche Folgen Fehler haben können. Diese Anforderungen fließen in Architektur, Umsetzung, Prüfung und Produktionsplanung ein. Die Maßnahmen richten wir auf das jeweilige System und seine Risiken aus.
Standort der Daten
Auch die Infrastruktur, auf der Ihre Software läuft.
Unser Ansatz
Direct Software arbeitet nach den Grundsätzen von ISO/IEC 27001, ist jedoch nicht nach diesem Standard zertifiziert. Sicherheit wird vom Entwurf bis zur Umsetzung berücksichtigt. Die Schutzmaßnahmen richten sich nach den Systemen, der Umgebung und den Risiken des Kunden.
Engineering-Praktiken
Wir wählen diese Technologien passend zu den Sicherheitsanforderungen und der Umgebung des jeweiligen Projekts aus und konfigurieren sie entsprechend.
| Praktik | Einsatz |
|---|---|
| Hosting-Umgebung | Azure, AWS, Google Cloud oder eine lokale Umgebung wählen wir passend zu den Anforderungen und zur bestehenden Systemlandschaft des Kunden aus. |
| Identität und Zugriff | Native Identitätsdienste der Cloud-Plattform oder Auth0 für On-Premises-Lösungen, passend zur jeweiligen Umgebung. |
| Infrastruktur | Terraform beschreibt Infrastruktur als Code, damit Umgebungen überprüfbar und reproduzierbar eingerichtet werden können. |
| Prüfung und Code-Review | Playwright unterstützt Browser- und End-to-End-Tests; SonarQube und Qodo unterstützen Codequalität und Review. |
| Software-Abhängigkeiten | OWASP Dependency-Track zeigt bekannte Risiken bei Software-Abhängigkeiten. |
| Sicherheitsscans | Wir setzen Trivy regelmäßig für Sicherheitsscans ein. |
| Betrieb und Monitoring | OpenTelemetry verbindet Anwendungssignale mit plattformgerechtem Monitoring, Logging und Fehlerverfolgung. |
KI und Kundeninformationen
Google Workspace Gemini und GitHub Copilot Business können bei freigegebenen Analyse- und Engineering-Aufgaben unterstützen. Wir beschränken die Informationen auf das für die Aufgabe Notwendige, beachten Kundenvorgaben und vereinbarte Einschränkungen und verwenden sensible oder geschützte Inhalte nur, wenn Dienst und Kontoeinstellungen dafür geeignet sind. Eine verantwortliche Person prüft die KI-Ergebnisse.
Nach den geltenden Bedingungen verwendet Google Kundendaten aus Google Workspace nicht ohne Zustimmung oder Weisung des Kunden, um generative KI-Modelle zu trainieren oder weiterzuentwickeln. GitHub verwendet Daten aus Copilot Business nicht zum Training seiner Modelle.
Bei Software mit personenbezogenen Daten stimmen wir Datenschutzanforderungen, Rollen und Verantwortlichkeiten auf die Verarbeitung und die Vereinbarungen im jeweiligen Projekt ab.
Ihre Softwaresituation besprechen
Im kostenfreien Erstgespräch klären wir Systeme, Informationen, Einschränkungen und anstehende Entscheidungen. So wird sichtbar, welche technischen oder datenschutzrechtlichen Fragen genauer geprüft werden müssen.
Lieber per E-Mail? projects@direct-software.com