Datensicherheit der 3DEXPERIENCE Plattform

Höchste zertifizierte Sicherheitsstandards

3DEXPERIENCE Datensicherheit - Certified Logos

Ist die 3DEXPERIENCE Plattform sicher?

Wie werden meine Daten geschützt?

Das ständig wachsende Interesse an Software as a Service (SaaS) hat ein neues Paradigma für die Sicherheitsanforderungen erforderlich gemacht. Da die Informationen ausserhalb der gewohnten Umgebung übertragen, verarbeitet und gespeichert werden, muss ein Schwerpunkt auf die Sicherung dieser Informationen gelegt werden.

Bei der Entwicklung und Bereitstellung der 3DEXPERIENCE Plattform wurde die Sicherheit in den Mittelpunkt gestellt. Mehrere gut kontrollierte Sicherheitsebenen, mit besonderem Schwerpunkt auf Security in Depth (SID), gewährleisten diese Sicherheit.

Die 3DEXPERIENCE Plattform ist sicherer als das, was Sie heute haben, denn es gibt zwei Ebenen der Sicherheit:

Die umfassende Sicherheit von SaaS der auf der 3DEXPERIENCE Plattform verfügbaren Prozesse und
die vom Cloud-Anbieter bereitgestellte umfassende Sicherheit von IaaS

Die Sicherheitsprozesse der 3DEXPERIENCE Plattform folgt regulatorischen und sicherheitstechnischen Standards und Best Practices, die auf dem Prinzip der Security in Depth (SID) basieren, mit besonderem Schwerpunkt auf:

ISO 2700x-Standards, insbesondere Implementation Guide ISO 27002
NIST 800 Series
OWASP-Methodik
CobIT-Framework

Sicherheitsprozesse auf dem Prinzip der Security in Depth (SID)

Internet-Sicherheit

Mehrere Sicherheitsebenen sorgen dafür, dass nur der beabsichtigte Verkehr, sowie die beabsichtigten Aktivitäten von der 3DEXPERIENCE Plattform verarbeitet werden.
Der gesamte eingehende Internetverkehr wird durch unabhängige Mechanismen gefiltert, die Zuverlässigkeit und das Fehlen einer Kaskadierung von Schwachstellen gewährleisten. Darüber hinaus ist die Internet-Hosting-Umgebung gegenüber DDoS-Angriffen, einer Nichtverfügbarkeit des Internets, abgeschirmt.
Sichere Kommunikationskanäle (https/TLSv.1.2AES256-Verschlüsselung) zwischen der Hosting-Umgebung und dem Standort des Kunden werden gegebenenfalls genutzt, um die Vertraulichkeit und Integrität der übertragenen Daten zu gewährleisten.

In-Cloud-Sicherheit

Innerhalb der 3DEXPERIENCE Plattform wird die Sicherheit der Kundenumgebung im Verhältnis zu anderen Elementen in der Cloud (In-Cloud-Sicherheit) durch unabhängige Lösungsebenen gewährleistet.
Über die Firewalls hinaus arbeitet jeder Anwender auf Instanzen, die von den anderen Systemen unabhängig sind. Ein solcher Ansatz schützt vor kundenübergreifendem Datenzugriff; diese Kompartimentierung ist auch auf der Anwendungsebene fest kodiert.
Die Struktur der Cloud-Umgebung, die die oben genannte Trennung gewährleistet, mindert auch die klassischen Risiken, wie Angriffe und die Netzwerk-Aufklärung. Insbesondere Sniffing und IP-Spoofing sind von vornherein nicht möglich.

Sicherheit auf Anwendungsebene

Die Anwendungsebene der 3DEXPERIENCE Plattform unterliegt einem sehr strengen Sicherheitsdesign- und Überprüfungsprozess.
Die Entwicklungs- und Überprüfungsprozesse sind so konzipiert, dass sie Sicherheitsaspekte und -kontrollen einbeziehen. Der Code orientiert sich an den besten Praktiken und Empfehlungen der Branche und wird doppelt geprüft (intern und extern).
Besonderes Augenmerk wird hierbei auf die wichtigsten OWASP-Bedrohungen gelegt. Eine zyklische Penetrationstestübung wird für das Applikations-Ökosystem ausgeführt, um eine zusätzliche Schutzprüfung durchzuführen, die das Paradigma der sicheren Kodierung ergänzt.
Schliesslich wird ein kontinuierlicher Prozess von Scans zur ständigen Überwachung der verschiedenen Module der Anwendung eingesetzt.
Die 3DEXPERIENCE Plattform verfügt über ein umfassendes Sicherheitsmodell namens P&O, das den Zugriff auf alle Daten nur für die Benutzer sicherstellt, die berechtigt sind, sie zu sehen oder zu ändern. P&O Mechanismus ist konform mit ISO 17799 (Luft- und Raumfahrt/Militärnorm, höchste Stufe).

Sicherheit virtuelle Systeme

Die virtuellen Systeme, auf denen die Daten und Anwendungen gehostet werden, werden vor der Freigabe für die Produktion unter Sicherheitsaspekten genau geprüft.
Der für diese Systeme geltende Sicherheitszyklus ist sehr streng und gewährleistet ein hohes Mass an Sicherheit, auch nach der Produktionsfreigabe.
Neben den klassischen Sicherheitswartungsaktivitäten (System-Patching, Überprüfung der Services) führt der Hersteller der 3DEXPERIENCE Plattform, Dassault Systèmes, regelmässig angriffsähnliche Szenarien durch, die die Integrität eines Modellsystems, sowie die Reaktionsfähigkeit der operativen Teams testen. Die zyklische, aber zufällige Natur dieser Tests gewährleistet eine Zusammenführung der Ergebnisse (Kausalanalyse).

Physische Sicherheit

Kundendaten werden in unscheinbaren Datenzentren gespeichert und verarbeitet, zu denen nur befugtes Personal Zugang hat.
Alle Auftragnehmer und Besucher werden stets begleitet.
Der gesamte physische Zugang zu den Rechenzentren wird protokolliert und geprüft.
Auch die physische Speicherung ist durch redundante Festplatten, Notfallwiederherstellung, sowie Sicherungs- und Wiederherstellungsverfahren gesichert.
Alle Cloud-Anbieter von Dassault Systèmes sind nach ISO 27001 zertifiziert.

Sicherheitstests und Sicherheitsüberprüfungen

Die Informationssicherheit ist in dem Entwicklungsprozess der 3DEXPERIENCE Plattform integriert. Dies ist das Ergebnis von F&E- und Informationssicherheitsteams, die eng zusammenarbeiten, um alle potenziellen Probleme zu identifizieren und zu lösen.
Zusätzlich zu diesen proaktiven Bemühungen werden mindestens einmal jährlich und bei jeder grösseren Änderung der Plattform unabhängige Tests durchgeführt. Bei diesen Tests werden die verschiedenen Sicherheitsebenen belastet, und es wird versucht, die Umgebung auf hackerähnliche Weise zu durchbrechen.
All diese Aktivitäten werden sorgfältig geplant und als Teil des globalen Design-, Implementierungs- und Validierungszyklus durchgeführt.
Zusätzlich zu den Sicherheitsmechanismen der Plattform ist in der Anwendung eine vollständige rollenbasierte Zugriffskontrolle implementiert, die es dem Dateneigentümer ermöglicht, granulare Zugriffsrechte festzulegen.
Schliesslich ist der Zugriff auf die Anwendung nur nach Erhalt einer korrekten Lizenz möglich, was die mögliche Angriffsfläche minimiert.
TLS-basierte Mechanismen gewährleisten eine sichere Verbindung und beugen dem Risiko des Abhörens oder von Man-in-the-Middle-Attacken vor.

Cloud Zertifikate

Dassault Systèmes

Dassault Systèmes Qualitätsmanagementsystem (QMS) ISO 9001:2015 Zertifizierung

3DEXPERIENCE Plattform

Die P&O Mechanismen sind kompatibel mit ISO 17799

IaaS Provider

Alle IaaS Provider (Outscale & Amazon) sind ISO 27001:2013 zertifiziert

Fazit

Das Konzept von «Security in Depth» basiert auf mehrere unabhängige Mechanismen zur Minderung jedes einzelnen Risikos auf der 3DEXPERIENCE Plattform. Kunden können auf die Nutzung dieser SaaS-Plattform vertrauen, denn Dassault Systèmes hat die Sicherheit der 3DEXPERIENCE Plattform in den Mittelpunkt gestellt.

3DEXPERIENCE Plattform

Bringen Sie alle Unternehmensbereiche auf einer zentralen cloudbasierten Plattform zusammen.

3DEXPERIENCE ➝

3DEXPERIENCE Produktdemo

Vereinbaren Sie mit uns einen Termin und lassen Sie sich die 3DEXPERIENCE Plattform kostenlos zeigen.

Demotermin vereinbaren ➝

3DEXPERIENCE Cloud-Sicherheit Whitepaper

Whitepaper Cloud-Sicherheit

Detaillierte Informationen zur Datensicherheit der 3DEXPERIENCE-Plattform zum kostenlosen Download.

Whitepaper downloaden ➝

Glossar: Wichtige Fachbegriffe zum Thema Datensicherheit erklärt

METHODIK

Kausalanalyse

Eine Technik zur Prozessverbesserung, die darauf abzielt, die Ursachen und die Beziehungen zwischen diesen Ursachen nach der Entdeckung eines Fehlers zu definieren.

OWASP

OWASP (Open Web Application Security Project) – eine Sicherheitsorganisation, die Standards für die Anwendungssicherheit setzt
und insbesondere eine Liste der kritischsten Schwachstellen in Webanwendungen herausgibt. Weithin anerkannt als der «Goldstandard»
für Web-Sicherheit.

ANGRIFFE

DDoS (Distributed Denial of Service, wörtlich übersetzt; verteilte Dienstverweigerung)

Ein Cyberangriff, bei dem eine sehr grosse Anzahl von Anfragen aus vielen Quellen an ein angegriffenes System gestellt wird. Das Ziel ist es, das System unempfindlich zu machen, während es versucht, alle Anfragen gleichzeitig zu bearbeiten.

Lauschangriff, Netzwerk-Sniffing

Das Abfangen des Datenverkehrs zum Zwecke der böswilligen Analyse und Wiederverwendung. Dieser Angriff kann auf Man-in-the-Middle-Techniken (siehe unten) beruhen oder spezielle Netzwerkkonfigurationen nutzen, die es ermöglichen, den Datenverkehr zwischen zwei Systemen (in der Regel ein Client und ein Server) von einer böswilligen Einheit abzufangen.

IP-Spoofing

IP-Spoofing ist eine Hacking-Technik, bei der die tatsächliche Netzwerkadresse des Angreifers so verändert wird, dass das Zielsystem geführt wird zu glauben, dass der Datenverkehr von einem vertrauenswürdigen Rechner stammt.

Man-in-the-Middle-Attack

Ein Angriff, bei dem ein bösartiger Host in den Kommunikationspfad zwischen einem rechtmässigen Client und einem rechtmässigen Server eingeschleust wird.
Dieser bösartige Host versucht den Datenverkehr abzufangen, bevor er ihn auf transparente Weise an den rechtmässigen Empfänger weiterleitet. Die abgefangenen
Daten können dann später für böswillige Zwecke analysiert werden.

Netzwerk-Aufklärung

Hacking-Techniken zur Entdeckung der Topologie des Zielnetzes, der Systeme und Dienste. Ermöglicht die Planung und Strukturierung von späteren Angriffen.

Kaskadierte Schwachstelle

Ein Konstruktions- und Implementierungsfehler, bei dem sich ein einzelnes Problem in einem System auf andere Sicherheitsebenen auswirkt.

XSS

Eine Familie von Angriffen auf Anwendungen, die Fehler bei der Handhabung von Zugriffskontrollen ausnutzen, die durch unsichere Kodierungsmethoden eingeführt wurden.

SCHUTZ

Penetrationstests

Eine umfassende Reihe von Sicherheitstests, bei denen Hacking-Aktivitäten gegen ein System in der gleichen Weise durchgeführt werden, wie es ein Hacker tun würde.

Sichere Kodierung

Eine Untergruppe von Regeln, Methoden und Rahmenwerken, die darauf abzielen, die Einführung von Schwachstellen in Webanwendungen zu vermeiden.
Steht in enger Verbindung mit den OWASP-Standards.

Security in Depth (SID)

Ein Sicherheitskonzept, bei dem der Schutz von Informationen auf einer Reihe von unabhängigen Mechanismen beruht. Ein Verstoss gegen einen
Mechanismus wirkt sich nicht auf die anderen aus oder macht es einfacher, sie zu überwinden.