Die Norm ISO/IEC 27017:2015 betrifft die Implementierung der cloudspezifischen Kontrollen für die Informationssicherheit, die in ISO/IEC 27002 angegeben sind.
Die Zertifizierung wird durch ein jährliches, unabhängiges Audit erworben. ServiceNow ist seit 2018 ein zertifiziertes ISO/IEC-27017:2015-Unternehmen.
Die Zertifizierung ISO/IEC 27001:2022 gibt die Best Practices für Sicherheitsverwaltung und -kontrolle basierend auf dem Best-Practices-Leitfaden für ISO/IEC 27002 an. Sie stellt sicher, dass unser Managementsystem für Informationssicherheit (Information Security Management System, ISMS) fein abgestimmt ist, um mit Änderungen an Sicherheitsbedrohungen Schritt zu halten – was in der schnelllebigen Welt der IT-Sicherheit unverzichtbar ist.
Die erneute Zertifizierung erfolgt alle drei Jahre durch einen Audit, einschließlich eines jährlichen Überwachungsaudits als Nachweis dafür, dass ServiceNow:
- ein umfassendes ISMS entwickelt und implementiert hat.
- einen kontinuierlichen Risikomanagementprozess eingeführt hat, um sicherzustellen, dass die entsprechenden Kontrollen für die Informationssicherheit vorhanden sind, um aufkommende Bedrohungen und Risiken zu bewältigen.
- Risiken für die Informationssicherheit systematisch untersucht und dabei verschiedene Faktoren berücksichtigt, einschließlich der Auswirkungen von Unternehmensbedrohungen und Schwachstellen.
ServiceNow ist seit 2012 ein ISO/IEC-27001-zertifiziertes Unternehmen; das Zertifikat ist hier verfügbar.
Die Norm ISO/IEC 27018:2019 ist eine auf ISO/IEC 27002 basierende Verfahrensregel, die den Schutz personenbezogener Daten in Public Clouds gemäß den Datenschutzgrundsätzen in ISO/IEC 29100 betrifft.
Die Zertifizierung wird durch ein jährliches, unabhängiges Audit erworben. ServiceNow ist seit 2016 ein zertifiziertes ISO/IEC-27018:2019-Unternehmen.
Das SOC-Framework (Service Organizational Control) ist ein Nachweis dafür, dass ServiceNow den erforderlichen Standard hinsichtlich der Kontrollen erfüllt, mit denen die Vertraulichkeit, Integrität und Verfügbarkeit von Kundendaten in der Cloud geschützt werden.
- SOC 1 konzentriert sich auf die Effektivität interner Kontrollen, die sich auf die Finanzberichte von Kunden auswirken.
- SOC 2 wertet Kontrollen aus, die für die Verfügbarkeit, Integrität, Sicherheit, Vertraulichkeit oder den Datenschutz relevant sind.
ServiceNow wird von einer Drittpartei geprüft und hat seinen Nachweis nach SSAE 18 SOC 1 Typ 2 seit 2011 (SSAE 18 ersetzte SSAE 16 im Jahr 2017). SSAE 18 ist am internationalen Standard ISAE3402 ausgerichtet und ersetzt den nun veralteten SAS70.
Der SOC-1-Bericht von ServiceNow, der den Zeitraum vom 1. Oktober (des vorangegangenen Kalenderjahrs) bis zum 30. September (des aktuellen Kalenderjahrs) abdeckt, ist gegen Ende jedes Kalenderjahres (Dezember) über ServiceNow CORE verfügbar.
Der SOC-1-Bericht, der den Zeitraum vom 1. April bis zum 31. März abdeckt, ist gegen Ende des zweiten Quartals (Juni) jedes Kalenderjahres über ServiceNow CORE verfügbar.
ServiceNow wurde außerdem seit 2013 einem jährlichen Nachweis nach SOC 2 Typ 2 unterzogen, der für Sicherheits-, Verfügbarkeits- und Vertraulichkeitskontrollen relevant ist, die in den AICPA Trust Services Criteria (TSC) aufgeführt sind.
Der SOC-2-Bericht von ServiceNow deckt den Zeitraum vom 1. Oktober (des vorangegangenen Kalenderjahrs) bis zum 30. September (des aktuellen Kalenderjahrs) ab und ist gegen Ende jedes Kalenderjahrs (Dezember) über ServiceNow CORE verfügbar.
Ein Überbrückungsschreiben wird zwischen den Audit-Zeiträumen ausgestellt, sodass das Unternehmen über das gesamte Jahr abgedeckt ist.
Das SOC-1-Überbrückungsschreiben von ServiceNow, das den Zeitraum vom 1. Oktober (des aktuellen Kalenderjahrs) bis zum 31. Dezember (des aktuellen Kalenderjahrs) abdeckt, ist gegen Ende des ersten Quartals des Folgejahres über ServiceNow CORE verfügbar.
Das SOC-1-Überbrückungsschreiben, das den Zeitraum vom 1. April bis zum 30. Juni abdeckt, ist gegen Ende des dritten Quartals jedes Kalenderjahres über ServiceNow CORE verfügbar.
Das SOC-2-Überbrückungsschreiben von ServiceNow deckt den Zeitraum vom 1. Oktober (des aktuellen Kalenderjahrs) bis zum 31. Dezember (des aktuellen Kalenderjahrs) ab und ist gegen Ende des ersten Quartals des Folgejahrs über ServiceNow CORE verfügbar.
Der EU Cloud Code of Conduct (EU Cloud CoC) umfasst eine Reihe von Kontrollanforderungen, die darauf abzielen, Vertrauen und Transparenz auf dem europäischen Cloud-Computing-Markt zu schaffen und die Risikobewertung von Cloud-Service-Providern (CSPs) für Cloud-Kunden zu vereinfachen. Um diese Compliance nachzuweisen, führte ServiceNow ein internes Audit von über 80 EU Cloud CoC-Anforderungen durch und wurde einer externen Bewertung dieses Audits unterzogen. Die externe Validierung der Einhaltung des EU Cloud CoC durch ServiceNow zeigt, dass wir uns weiterhin dafür einsetzen, neben unseren bestehenden Sicherheits- und Datenschutz-Zertifizierungen die höchsten Datenschutz- und Sicherheitsstandards einzuhalten.
Die Services werden auf Einhaltung des EU Cloud CoC verifiziert, Verifizierungs-ID: 2022LVL02SCOPE3113. Weitere Informationen finden Sie unter https://eucoc.cloud/en/public-register.
Das GCC-Angebot (Government Community Cloud) von ServiceNow verfügt derzeit über eine Zertifizierung als Federal Risk and Authorization Management Program (FedRAMP) High Baseline Provisional Authority to Operate (P-ATO). So kann ServiceNow die Einführung unserer sicheren Cloud-Lösungen durch US-Bundesbehörden und -Anbieter beschleunigen und einen standardisierten Ansatz für die Bewertung, Überwachung und Autorisierung von Cloud-Computing-Produkten und -Services gemäß dem Federal Information Security Management Act (FISMA) implementieren.
GCC erhielt im August 2019 die erste Zertifizierung als GCC FedRAMP High Provisional Authority to Operate (P-ATO). GCC erfüllt außerdem die Kontrollanforderungen von Impact Level 4 (IL4) des US-Verteidigungsministeriums und 1253F Privacy Overlay High für personenbezogene Daten oder geschützte Gesundheitsinformationen des CNSSI.
Klicken Sie hier, um ServiceNow im FedRAMP Marketplace zu sehen.
Das GCC-Angebot (Government Community Cloud) von ServiceNow verfügt derzeit über eine provisorische Autorisierung (PA) für Impact Level 4 (IL4) des US-Verteidigungsministeriums (Department of Defense, DoD). Das erleichtert die Beschaffung von ServiceNow-Produkten durch US-Verteidigungsministerium und -Geheimdienste und etabliert einen Basisstandard, der durch den Cloud Computing (CC) Security Requirements Guide (SRG) definiert ist, der von der Defense Information Systems Agency (DISA) entwickelt wurde.
ServiceNow erhielt seine erste GCC DoD IL4 PA im Oktober 2019. Die DoD IL4 PA umfasst sowohl FedRAMP High- als auch DoD IL4-Kontrollanforderungen. Das GCC-Angebot von ServiceNow erfüllt auch die Kontrollanforderungen von CNSSI 1253F Privacy Overlay High für personenbezogene Daten oder geschützte Gesundheitsinformationen.
Klicken Sie hier, um ServiceNow in der DISA Storefront im Standardangebotsbereich zu sehen.
ServiceNow verfügt über eine provisorische Autorisierung (PA) für Impact Level 5 (IL5) des US-Verteidigungsministeriums (Department of Defense, DoD). Damit ist die National Security Cloud (NSC) von ServiceNow eines der wenigen SaaS- und PaaS-Angebote (Software-as-a-Service/Platform-as-a-Service), die nach dem strengen Department of Defense Cloud Computing Security Requirements Guide auf Impact Level 5 entwickelt und genehmigt wurden.
Die provisorische Autorisierung für IL5 wird die digitale Transformation des Verteidigungsministeriums beschleunigen, da das Ministerium, seine Partner sowie ausgewählte Bundesbehörden hiermit hochsensible Daten, einschließlich kontrollierter, nicht klassifizierter Informationen und nicht klassifizierter nationaler Sicherheitssysteme, an cloudbasierte ServiceNow-Lösungen übertragen können, die auf Microsoft Azure Government gehostet werden.
MTCS Level 3 ist eine Zertifizierung, die sicherstellt, dass ServiceNow Standards hinsichtlich der Vertraulichkeit und Integrität von Kundendaten in der Cloud für Singapur erfüllt. Sie baut auf ISO/IEC 27001 auf und umfasst die Souveränität, Aufbewahrung und Verfügbarkeit von Daten sowie betriebliche Kontinuitätsplanung und Notfallwiederherstellung.
ServiceNow ist stolz darauf, die höchste verfügbare Zertifizierungsstufe MTCS Level 3 erreicht zu haben.
Australian Platforms von ServiceNow wurde von einem anerkannten IRAP-Prüfer unabhängig bewertet, um die australischen ISM-Kontrollen für Daten der Kategorien OFFICIAL und PROTECTED zu erfüllen. Vom IRAP als OFFICIAL und PROTECTED bewertete Cloud-Services bieten australischen Regierungskunden das nötige Vertrauen in die NOW Platform und ermöglichen ServiceNow eine effektive Zusammenarbeit mit australischen Regierungsbehörden und Anbietern kritischer Infrastrukturen.
Weitere Informationen für australische regulierte Kunden finden Sie hier: https://your.servicenow.com/microsoftregulatedindustries/australia
ServiceNow und der EU Digital Services Act (Verordnung (EU) 2022/2065 des Europäischen Parlaments und des Rates vom 19. Oktober 2022 über einen Binnenmarkt für digitale Dienste und zur Änderung der Richtlinie 2000/31/EG):
Bitte leiten Sie jegliche Kommunikation gemäß dem EU Digital Services Act an DSACompliance@ServiceNow.com weiter.
ServiceNow ist Teilnehmer des DPF-Programms (Data Privacy Framework). Das EU-US-DPF, die VK-Erweiterung des EU-USA-DPF sowie das Schweiz-US-DPF wurden jeweils vom US-Handelsministerium und der Europäischen Kommission, der Regierung des Vereinigten Königreichs und der Schweizerischen Bundesverwaltung entwickelt, um US-Organisationen zuverlässige Mechanismen für die Übermittlung personenbezogener Daten aus der Europäischen Union, dem Vereinigten Königreich und der Schweiz bereitzustellen und dabei den Datenschutz im Einklang mit den Gesetzen der EU, des Vereinigten Königreichs und der Schweiz zu gewährleisten.
Weitere Informationen zum DPF-Programm finden Sie hier: https://www.dataprivacyframework.gov/s/. Die DPF-Richtlinie von ServiceNow finden Sie hier: https://www.servicenow.com/de/data-privacy-framework.html.
Zur Zertifizierung nach ISO 9001:2015 sind bestimmte Best Practices und Kontrollen für Qualitätsmanagementsysteme (QMS) nötig. Dadurch wird sichergestellt, dass Unternehmen konsistent Produkte und Services bereitstellen, die die Anforderungen von Kunden und behördlichen Vorschriften erfüllen. Sie zeigt unser Engagement für die Aufrechterhaltung hoher Qualitätsstandards und die Förderung kontinuierlicher Verbesserungen bei allen Aspekten unseres Betriebs.
Die erneute Zertifizierung erfolgt durch alle drei Jahre durchgeführte Audits. Ein jährlicher Überwachungsaudit bestätigt, dass unser Unternehmen:
- ein robustes QMS entwickelt und implementiert hat, um sicherzustellen, dass alle Prozesse auf die Best Practices der Branche abgestimmt sind.
- sich auf einen kundenorientierten Ansatz konzentriert, um konsistente Zufriedenheit und Zuwendung zu gewährleisten.
- kontinuierliche Verbesserung kultiviert und datenbasierte Einblicke und Feedback nutzt, um Prozesse zu verfeinern und Leistung anzutreiben.
- aktiv Risiken und Chancen bewertet, um die Effektivität des QMS zu verbessern und es an sich wandelnde Markt- und betriebliche Umstände anzupassen.
Die Zertifizierung nach ISO/IEC 20000-1:2018 bestimmt die Best Practices für das IT-Servicemanagement (ITSM) und stellt so sicher, dass Unternehmen qualitativ hochwertige IT-Services bereitstellen, die die Anforderungen von Kunden und behördlichen Vorschriften erfüllen. Sie zeigt unser Engagement für die Verwaltung und Verbesserung der Qualität unserer IT-Servicebereitstellung, während wir uns gleichzeitig auf Effizienz und Kundenzufriedenheit konzentrieren.
Die erneute Zertifizierung erfolgt durch alle drei Jahre durchgeführte Audits. Ein jährlicher Überwachungsaudit bestätigt, dass unser Unternehmen:
- ein umfassendes IT-Servicemanagement-System (SMS) entwickelt und implementiert hat, das der Norm ISO/IEC 20000-1 entspricht.
- kontinuierlich die Performance und Bereitstellung von IT-Services überwacht und verbessert, um sicherzustellen, dass sie Kundenerwartungen und Branchen-Benchmarks erfüllen.
- einen systematischen Ansatz für das Management von Risiken und Chancen sicherstellt, die mit Services zusammenhängen, und dadurch auf Kundenanforderungen und technologische Entwicklungen ausgerichtet bleibt, auch wenn diese sich ändern.
- kontinuierliche Serviceverbesserung (Continual Service Improvement, CSI) kultiviert, bei der mithilfe von Feedback und Metriken IT-Serviceprozesse optimiert und eine konsistente, zuverlässige Servicebereitstellung gewährleistet werden.
Die Zertifizierung nach ISO/IEC 20000-1:2019 bestimmt die Best Practices für Systeme für das betriebliche Kontinuitätsmanagement (Business Continuity Management Systems, BCMS) und stellt sicher, dass Unternehmen effektiv auf Unterbrechungen reagieren und kritische Geschäftsabläufe aufrechterhalten können. Sie zeigt unser Engagement für den Schutz der Resilienz und Kontinuität des Betriebs bei potenziellen Krisen oder Notfällen.
Die erneute Zertifizierung erfolgt durch alle drei Jahre durchgeführte Audits. Ein jährlicher Überwachungsaudit bestätigt, dass unser Unternehmen:
- ein robustes BCMS entwickelt und implementiert hat, das der Norm ISO 22301 entspricht
- einen proaktiven Ansatz zur Identifizierung und Minderung potenzieller Bedrohungen für die Geschäftskontinuität pflegt, um die kontinuierliche Verfügbarkeit wichtiger Services zu gewährleisten.
- Wiederherstellungspläne systematisch auswertet und testet, um sicherzustellen, dass sie effektiv die Auswirkungen von Unterbrechungen minimieren und kritische Geschäftsfunktionen aufrechterhalten.
- kontinuierliche Verbesserung kultiviert.
Das nationale Sicherheitsschema (Esquema Nacional de Seguridad, ENS) ist ein spanisches Zertifizierungssystem, das die Kriterien und Anforderungen für einen angemessenen Schutz elektronischer Informationen im Rahmen der elektronischen Verwaltung festlegt. Das ENS wird durch eine königliche Gesetzesverordnung geregelt und legt Standards für öffentliche Verwaltungen und Einrichtungen sowie für private Unternehmen fest, die öffentliche Daten verarbeiten. Das ENS klassifiziert Daten basierend auf ihrer Vertraulichkeit und ihrer Verarbeitungsform und definiert verschiedene Ebenen von Sicherheitsmaßnahmen, von der grundlegenden bis zur höchsten, um robusten Datenschutz, effektives Incident-Management und regelmäßige Compliance-Prüfungen durch Audits zu gewährleisten. Diese Zertifizierung ist unerlässlich, um das Vertrauen in die elektronischen Services zu stärken, die von und innerhalb von spanischen Regierungsbehörden bereitgestellt werden.
ServiceNow hat die Anforderungen zur Einhaltung von ENS auf der Ebene „Hoch“ erfüllt.