Security and Compliance

Führend in unserer Branche

Als globales Unternehmen mit Kund:innen auf der ganzen Welt bietet Benevity Produkte und Dienstleistungen an, die über Nordamerika hinaus gesetzlich geregelt werden. Wir haben schon immer erheblich in unsere Sicherheits- und Compliance-Standards investiert, um Ihnen die Gewissheit zu geben, dass Ihre Daten geschützt sind und dass Sie mit dem Marktführer in der Branche zusammenarbeiten.

Da wir seit mehr als einem Jahrzehnt in diesem Bereich tätig sind und zu unseren Kund:innen einige der bekanntesten Unternehmen der Welt zählen, die über umfangreiche, ausgefeilte Datenschutz- und Sicherheitsprotokolle verfügen, haben wir eine enorme Sorgfalt walten lassen, die zu einer Reife und Offenheit geführt hat, die Sie beruhigen wird.

Datenschutz und DSGVO

Im Mai 2018 haben die europäischen Regulierungsbehörden die Datenschutz-Grundverordnung (DSGVO) umgesetzt. Diese weitreichende Gesetzgebung wurde zum Schutz der Persönlichkeitsrechte von Einzelpersonen in der EU konzipiert und schreibt strenge Standards für die Verwendung, Erhebung oder Übermittlung personenbezogener Daten vor, unabhängig davon, wo sich ihre personenbezogenen Daten befinden und verarbeitet werden. Die DSGVO verlangt von den Verantwortlichen und Auftragsverarbeitern, dass sie geeignete technische und organisatorische Maßnahmen ergreifen, um ein den Risiken angemessenes Sicherheitsniveau zu gewährleisten.

DSGVO Konformität

Als Reaktion auf diese Veränderungen in der Datenschutzlandschaft erweiterte Benevity sein bestehendes Datenschutzprogramm, um den neuen Anforderungen zu entsprechen. Dieses Programm basiert auf aktuellen Vorschriften, branchenüblichen Best Practices von Berufsverbänden wie der International Association of Privacy Professionals sowie EU-rechtlichen Leitlinien und Ratschlägen zur Einhaltung des Datenschutzes. Wir haben mit einigen der größten Arbeitgeber in der EU, einschließlich Datenschutzbeauftragten, zusammengearbeitet, um die Anforderungen der DSGVO und der Betriebsräte für ihre Programme zu erfüllen.

Unternehmen mit den strengsten Sicherheitspraktiken vertrauen Benevity, einschließlich:

Engagiertes Team von Sicherheitsexperten

Das engagierte Governance- & Control-Team von Benevity überwacht unsere Einhaltung der Regulierungen in einer sich ständig verändernden und erweiternden Compliance-Landschaft. Außerdem haben wir ein Security Operations-Team, das Tag und Nacht über Hintertüren und verteilte Denial-of-Service-Angriffe nachdenkt, um diese zu verhindern. Neben umfangreichen Branchenerfahrungen sind unsere Mitarbeitenden aktive Mitglieder, besitzen Zertifizierungen und haben in einigen Fällen Führungspositionen in folgenden Organisationen inne:

(ISC)², welches den Titel Certified Information Systems Security Professional (CISSP) vergibt
American Institute of Certified Public Accountants und Canadian Institute of Chartered Accountants
Institute of Internal Auditors
Information Systems Audit & Control Association (ISACA), die den Titel Certified Information Systems Auditor (CISA) vergibt
International Association of Privacy Professionals (IAPP), die den Titel Certified Information Privacy Professional (CIPP) vergibt

Branchenführende Zertifizierungen und Standards

Wir sind bestrebt, in den Regionen, in denen wir tätig sind, die höchsten Standards zu erfüllen. Wir sind uns bewusst, dass jede Zertifizierung, die wir erhalten, kein Ziel ist, sondern eine Gelegenheit ist, weiterhin von den besten Sicherheitsunternehmen der Branche sowie von unseren Kund:innen und Geschäftspartnern zu lernen und mit ihnen zusammenzuarbeiten. Wenn Sie Kopien dieser Zertifizierungen wünschen, wenden Sie sich bitte an Ihre Ansprechpartner bei Benevity.

SSAE18 SOC 1

Seit mehreren Jahren erstellt Benevity jährlich einen SSAE18 SOC 1 Typ 2-Bericht. Wir geben den SOC-Bericht heraus, um unseren Kund:innen und den Wirtschaftsprüfern bei der Bewertung unserer Kontrollen zu helfen und um unseren Kund:innen bei der Entwicklung ihrer eigenen Kontrollen im Zusammenhang mit unseren Dienstleistungen zu unterstützen. Fragen Sie andere Anbieter, ob sie ihre eigenen SOC-Berichte herausgeben (wahrscheinlich nicht). Die meisten verlassen sich auf die Berichte ihrer Hosting-Provider.

Shared Assessments SIG

Durch unsere Mitgliedschaft im Shared Assessments Program geben wir die Vorteile von Bewertungsinstrumenten wie dem Standard Information Gathering (SIG) Tool weiter. Darüber hinaus bedeutet unsere Teilnahme an dem Programm, dass wir mit Branchenkollegen zusammenarbeiten, um Bewertungsinstrumente zu beeinflussen und zu entwickeln.

PCI DSS

Benevity und alle Dienstanbieter auf unserer Plattform sind nach dem Payment Card Industry Data Security Standard (PCI DSS) zertifiziert.

Sicherheitsmaßnahmen

Benevity hat seine betrieblichen Sicherheitspraktiken auf der Grundlage von Leitlinien führender Industriestandards und Rahmenwerke entwickelt, darunter:

COBIT, herausgegeben vom IT Governance Institute
ISO 27001 Spezifikation für ein Informationssicherheitsmanagementsystem (ISMS)
SANS Critical Security Controls
Cloud Security Alliance's Cloud Controls Matrix

Diese Standards und Rahmenbedingungen sind zwar wichtig, aber sie sind nur ein Startpunkt. Unser Security Operations Team wendet Prinzipien wie "Defense in Depth" und "Privacy by Design" an, um die Umgebung von Benevity (einschließlich aller physischen Standorte, IT-Infrastruktur, Anwendungen, Datenbanken und Drittanbieter) so sicher wie möglich zu machen.

Physische Sicherheit

Die physische Sicherheit umfasst alle Standorte, an denen wir tätig sind. Dazu gehören Geschäftsräume, Rechenzentren und sogar unsere Laptops. Als Teil des Sicherheitsprogramms von Benevity gilt für jeden unserer physischen Standorte Folgendes:

Wir arbeiten mir CCTV-Kameras, deren Aufnahmen gemäß unseren Sicherheitsrichtlinien gespeichert werden.
Elektronische Schlösser mit zugewiesenen Schlüsselkarten/-anhängern, die nach einem strengen Zugangsverwaltungsverfahren für die Gewährung, den Entzug und die Änderung des Zugangs zugewiesen werden.
Verschiedene Sicherheitszonen mit eingeschränktem Zugang je nach Aufgabenbereich.
Alle Zutrittsversuche (erfolgreich/nicht erfolgreich) werden protokolliert, wobei die Protokolle gemäß unseren Sicherheitsrichtlinien gespeichert werden.
Alle Besucher:innen werden registriert und begleitet, wobei das Register gemäß unseren Sicherheitsrichtlinien gespeichert wird.
Außerdem arbeiten wir mit einer Politik des sauberen Schreibtisches.

Die physische Sicherheit im Rechenzentrum (wo Ihre Daten gespeichert und verarbeitet werden) geht über die oben genannten Standards hinaus. Benevity nutzt Amazon Web Services (AWS), ein führendes Unternehmen im Bereich Cloud-Hosting, und als solches umfassen die Kontrollen:

Der Zugang zum Rechenzentrum ist auf AWS-Mitarbeitende und Auftragnehmer:innen beschränkt.
Die Rechenzentren werden von professionellem Sicherheitspersonal kontrolliert.
Redundante Strom- und Netzwerkdienste.
Branderkennung und -bekämpfung.
Klima und Temperatur werden streng kontrolliert.
Alle Medien werden gemäß den NIST 800-88 Richtlinien für die Desinfektion behandelt.

Netzinfrastruktur und Sicherheit

Wir haben uns für das AWS-Modell der geteilten Verantwortung entschieden, bei dem AWS die Komponenten von der Virtualisierungsebene bis hin zur physischen Sicherheit der Einrichtungen, in denen die Services betrieben werden, betreibt, verwaltet und kontrolliert. Unsere Verantwortung erstreckt sich vom Gastbetriebssystem bis hin zur Netzwerkkonfiguration, den Datenbanken und Anwendungen. Dieser Rahmen und dieses Modell werden allen beteiligten Benevity-Teams vermittelt:

Team für Standortzuverlässigkeit
Team für Sicherheitsabläufe
Team für Governance und Kontrollen
Team Produktentwicklung

Um dieser Verantwortung gerecht zu werden, hält sich Benevity an die Best Practices der Branche und setzt bei der Entwicklung aller unserer Systeme auf das gut durchdachte AWS-Framework.

Sicherheitsteam

Benevity verfügt über ein engagiertes Security Operations Team mit langjähriger Erfahrung in der Sicherung von IT-Umgebungen in Unternehmen und der Reaktion auf Sicherheitsvorfälle. Außerdem engagieren wir in regelmäßigen Abständen Managed Security Service Provider von renommierten, weltweit anerkannten Unternehmen. Diese Teams haben eine Sicherheitspraxis entwickelt, die Folgendes umfasst:

DDOS-Schutz
Überwachung der Dateiintegrität
Intrusion Prevention System
Anti-Malware
Verwaltung von Sicherheitsinformationen und Ereignissen
Kontinuierliche Überprüfung der Sicherheit von Webanwendungen und Bewertung der Geschäftslogik durch einen unabhängigen Dritten
Schwachstellenmanagement und Patching-Richtlinien
Netzwerk-Penetrationstests, die von einem unabhängigen Dritten durchgeführt werden

Änderungsmanagement, um sicherzustellen, dass nur autorisierte Änderungen vorgenommen werden

Ein formeller Änderungsbeirat setzt die Benevity-Kontrollen für Änderungen an Produktionssystemen durch, einschließlich:

Wartung und kontrollierter Zugang zu einer Produktionsumgebung und mehreren Nicht-Produktionsumgebungen (Entwicklung, Test, Staging usw.)
Sicherstellung, dass jede Änderung am Benevity-System ordnungsgemäß genehmigt wird
Testen von Änderungen durch engagierte interne Qualitätssicherungsmitarbeitende vor der Umsetzung
Tausende von automatisierten Tests vor der Umsetzung
Aufgabentrennung (Segregation of Duties, SoD), Durchlaufen von Änderungen in verschiedenen Umgebungen
Aufrechterhaltung eines Systems zur Trennung von unvereinbaren Aufgaben

Logische Sicherheit

Bei der logischen Sicherheit geht es darum, den Zugang zu IT-Systemen zu kontrollieren und sicherzustellen, dass Personen einen triftigen Grund haben, auf Geschäftsinformationen zuzugreifen, sie zu lesen oder zu ändern. Benevity unterhält ein System rollenbasierter Zugangskontrollen sowie die notwendigen Prozesse zur Unterstützung:

Zugang nach dem Prinzip "Kenntnis nur nach Bedarf" und "geringste Rechte"
Dokumentierte Zugriffsanträge und Genehmigungen
Regelmäßige Überprüfung des Zugangs, um sicherzustellen, dass diejenigen, die ihn haben, ihn auch benötigen
Authentifizierungskontrollen, einschließlich starker Passwörter und mehrstufiger Authentifizierung

Sicherheitsbewusstsein ist in unserer Kultur verankert

Wir bei Benevity sind uns bewusst, dass die Sicherheitsrisiken über die IT-Systeme hinausgehen und auch eine menschliche Komponente beinhalten. Daher setzen wir erhebliche Ressourcen ein, um bei unseren Mitarbeitenden ein hohes Maß an Sicherheitsbewusstsein zu schaffen. Dies hilft ihnen, die Sicherheitsanforderungen unserer Kund:innen und die Vorschriften, denen wir unterliegen, sowie aufkommende Sicherheitsbedrohungen zu verstehen. Jeder Mitarbeitende von Benevity durchläuft formelle Schulungen zum Sicherheitsbewusstsein und regelmäßige Phishing-Simulationstests. Darüber hinaus stehen unseren Mitarbeitenden viele informelle Schulungsmöglichkeiten zur Verfügung, darunter Seminare, praktische Aktivitäten und Frage-und-Antwort-Sitzungen mit Sicherheitspersonal.

Compliance und Partnerschaften mit Dritten

Der Verhaltenskodex und die Geschäftsethik von Benevity verpflichten uns zur Einhaltung höchster Standards bei der Einhaltung der Gesetze und Vorschriften in allen Regionen, in denen wir tätig sind.

Unser Governance- und Control-Team arbeitet mit allen unseren Funktionsbereichen zusammen, vom Marketing bis zu den Finanzen, um sicherzustellen, dass wir uns der aktuellen und zukünftigen Regulierungen bewusst sind und alles Erforderliche tun, um unsere Verpflichtung zur Einhaltung der Vorschriften zu erfüllen.

Was Compliance in unserem Bereich bedeutet

Benevity ist im Bereich des Corporate Purpose tätig und bietet Produkte und Dienstleistungen an, die Employee Engagement, Customer Engagement und Community Investment fallen. Benevity ist auch ein globales Unternehmen und als solches unterliegt unser Produkt- und Dienstleistungsangebot der Aufsicht von Regulierungsbehörden, die über die nordamerikanische Landschaft hinausgehen.

Partnerschaften mit Dritten machen uns stärker

Cloud, APIs, Virtualisierung, Container, Microservices - oh je! In der heutigen Zeit ist es ungewöhnlich, ein Unternehmen zu finden, das sich nicht auf Dritte verlässt, um seine Produkte und Dienstleistungen an Kunden zu liefern, und Benevity ist da keine Ausnahme. Wir arbeiten mit Drittanbietern zusammen, die in ihrem Bereich die Besten sind, und geben diese hervorragende Leistung an unsere Kund:innen weiter. Alle unsere Drittanbieter werden einer strengen Prüfung unterzogen, bevor sie in das Benevity-Ökosystem aufgenommen werden, sowie einer kontinuierlichen Überwachung, um sicherzustellen, dass ihre Governance, ihr Risikomanagement und ihre Kontrollen den Standards von Benevity entsprechen. Wir arbeiten nur mit Unternehmen zusammen, die unabhängig bestätigen, dass sie Branchenstandards wie SSAE18, ISO 27001, PCI DSS usw. einhalten. Wir arbeiten mit diesen Anbietern:

Amazon Web Services (AWS) für Cloud-Hosting
BlueSnap für die Zahlungsabwicklung
CyberSource für die Zahlungsabwicklung
Foundation Partners (AOGF, AUOGF, COGF, IOGF, OGF [Indien], UKOGF) für die sichere Verarbeitung von Spenden
PayPal für die Zahlungsabwicklung

Vertrauen und Sicherheit in der gemeinnützigen Landschaft

Benevity hat das Privileg, eine Plattform im Bereich Corporate Purpose zu sein. Durch unsere Aktivitäten in diesem Bereich treffen wir auf Wohltätigkeitsorganisationen und Non-Profit-Organisationen, Einzel- und Unternehmensspender, Finanz- und IT-Dienstleister sowie auf Regulierungsbehörden.

Auch wir treffen auf bösartige Akteure. In Anbetracht dieser Faktoren haben wir mehrere Vertrauens- und Sicherheitsmaßnahmen eingeführt, um eine vollständige und genaue Transaktionsverarbeitung zu gewährleisten und gleichzeitig die bösen Menschen in Schach zu halten.

Führend bei der Überprüfung von Wohltätigkeitsorganisationen weltweit

Bevor eine gemeinnützige Organisation in das Benevity-Ökosystem aufgenommen wird, stellt unser engagiertes Prüfungsteam sicher, dass sie bei den Behörden in ihrer Region einen guten Ruf genießt. Wir überwachen außerdem kontinuierlich alle Organisationen in unserer gemeinnützigen Datenbank auf Sanktionslisten, Durchsetzungsmaßnahmen und negative Medienberichte.

Betrugsbekämpfung

Das Team von Benevity hat mehrere Maßnahmen zur Betrugserkennung und -verhinderung eingeführt. Dazu gehören manuelle und automatisierte Verfahren, um die Integrität der Transaktionen in unserem System zu wahren und Missbrauch zu minimieren.

Disaster Recovery und Geschäftskontinuität

Wir alle wissen, dass guten Menschen manchmal schlimme Dinge passieren, und wir verbringen viel Zeit damit, über die verschiedenen Arten von Risiken nachzudenken, die unser Unternehmen und die gute Arbeit unserer Kund:innen bedrohen. Unser engagiertes Komitee für die Geschäftskontinuitätsplanung führt regelmäßige Bewertungen der Auswirkungen auf das Geschäft durch und überwacht den Disaster Recovery Plan von Benevity sowie die Tests dieses Plans. Die Daten werden in zwei AWS-Hosting-Regionen repliziert, wobei jede Region aus mehreren "Verfügbarkeitszonen" (unabhängigen Rechenzentren) besteht, um Redundanz und hohe Verfügbarkeit zu gewährleisten. Unser Ziel für die Wiederherstellungszeit beträgt vier Stunden.

Die sicherste Wahl, die Sie treffen können