Lo standard ISO/IEC 27017:2015 riguarda l'implementazione dei controlli della sicurezza delle informazioni specifici per il cloud indicati nella norma ISO/IEC 27002.
La certificazione viene acquisita mediante un audit indipendente annuale e ServiceNow è un'organizzazione certificata ISO/IEC 27017:2015 dal 2018.
La certificazione ISO/IEC 27001:2022 specifica le best practice e i controlli di gestione della sicurezza basati sulla raccolta di best practice ISO/IEC 27002. Garantisce che il nostro sistema di gestione della sicurezza delle informazioni (ISMS) sia ottimizzato per stare al passo con le modifiche alle minacce per la sicurezza, aspetto essenziale nel mondo frenetico della sicurezza IT.
La ricertificazione viene acquisita mediante audit ogni tre anni e include un ordine di audit di vigilanza annuale il cui obiettivo è dimostrare che ServiceNow:
- Ha progettato e implementato un ISMS completo.
- Ha adottato un processo di gestione dei rischi continuo per garantire che siano in atto i controlli di sicurezza delle informazioni appropriati per soddisfare uno scenario di minacce e rischi in continua evoluzione.
- Valuta in modo sistematico e appropriato i rischi per la sicurezza delle informazioni, tenendo conto di diversi fattori, tra cui l'impatto delle minacce e delle vulnerabilità aziendali.
ServiceNow è un'organizzazione certificata ISO/IEC 27001 dal 2012 e il certificato è disponibile qui.
ISO/IEC 27018:2019 è un codice di condotta basato su ISO/IEC 27002 e riguarda la protezione delle informazioni di identificazione personale (PII) nei cloud pubblici in conformità ai principi sulla privacy indicati in ISO/IEC 29100.
La certificazione viene acquisita mediante un audit indipendente annuale e ServiceNow è un'organizzazione certificata ISO/IEC ISO/IEC 27018:2019 dal 2016.
Il framework Service Organizational Control (SOC) attesta che ServiceNow soddisfa lo standard richiesto per quanto riguarda i controlli in essere volti a proteggere la confidenzialità, l'integrità e la disponibilità dei dati dei nostri clienti nel cloud.
- SOC 1 è incentrato sull'efficacia dei controlli interni che influiscono sui report finanziari dei clienti.
- SOC 2 valuta i controlli che sono pertinenti per la disponibilità, l'integrità, la sicurezza, la confidenzialità o la privacy.
ServiceNow è sottoposta ad audit di terzi e ha ottenuto la conferma dell'attestazione SSAE 18 SOC 1 Type 2 dal 2011 (SSAE 18 ha sostituito SSAE 16 nel 2017). SSAE 18 è allineato allo standard internazionale ISAE3402 e ha sostituito l'ormai obsoleto SAS70.
Il report SOC 1 di ServiceNow che copre il periodo che va dal 1° ottobre (anno civile precedente) al 30 settembre (anno civile in corso) è disponibile tramite ServiceNow CORE entro la fine di ogni anno civile (dicembre).
Il report SOC 1 relativo al periodo dal 1° aprile al 31 marzo è disponibile tramite ServiceNow CORE entro la fine del secondo trimestre dell'anno civile (giugno).
ServiceNow dispone inoltre di un'attestazione SOC 2 Type 2 annuale dal 2013, relativa ai controlli di sicurezza, disponibilità e confidenzialità indicati nei Trust Services Criteria (TSC) di AICPA.
Il report SOC 2 di ServiceNow copre il periodo che va dal 1° ottobre (anno civile precedente) al 30 settembre (anno civile in corso) ed è disponibile tramite ServiceNow CORE entro la fine di ogni anno civile (dicembre).
Tra i periodi di audit viene fornita una Bridge letter affinché l'azienda sia coperta per l'intero anno.
La bridge letter SOC 1 di ServiceNow che copre il periodo che va dal 1° ottobre (anno civile in corso) al 31 dicembre (anno civile in corso) è disponibile tramite ServiceNow CORE entro la fine del primo trimestre civile dell'anno successivo.
La bridge letter SOC 1 che copre il periodo dal 1° aprile al 30 giugno è disponibile tramite ServiceNow CORE entro la fine del terzo trimestre di ciascun anno civile.
La Bridge letter SOC 2 di ServiceNow copre il periodo che va dal 1° ottobre (anno civile in corso) al 31 dicembre (anno civile in corso) ed è disponibile tramite ServiceNow CORE entro la fine del primo trimestre civile dell'anno successivo.
Il codice di condotta UE sul cloud (EU Cloud CoC) è un insieme di requisiti di controllo progettati per sviluppare fiducia e trasparenza nel mercato europeo del cloud computing e per semplificare il processo di valutazione del rischio dei service provider cloud (CSP) per i clienti cloud. Per dimostrare questa conformità, ServiceNow ha svolto un audit interno di oltre 80 requisiti dell'EU Cloud CoC ed è stato sottoposto alla valutazione esterna di tale iniziativa di audit. La convalida esterna dell'adesione di ServiceNow all'EU Cloud CoC testimonia il nostro costante impegno a mantenere i più elevati standard di privacy e sicurezza oltre alle certificazioni di sicurezza e privacy esistenti.
I servizi sono stati verificati in conformità con il codice di condotta UE sul cloud, ID verifica: 2022LVL02SCOPE3113. Per ulteriori informazioni, visita il sito https://eucoc.cloud/en/public-register.
L'offerta Government Community Cloud (GCC) di ServiceNow attualmente ha una certificazione Federal Risk and Authorization Management Program (FedRAMP) Provisional Authority to Operate (P-ATO) di livello baseline alto. Questo consente a ServiceNow di accelerare l'adozione delle sue soluzioni cloud sicure da parte di agenzie federali e provider statunitensi e di implementare un approccio standardizzato per la valutazione, il monitoraggio e l'autorizzazione dei prodotti e servizi di cloud computing nel rispetto delle disposizioni del Federal Information Security Management Act (FISMA).
GCC ha ottenuto la certificazione GCC FedRAMP High Provisional Authority to Operate (P-ATO) ad agosto 2019. Il GCC soddisfa inoltre i requisiti di controllo Impact Level 4 (IL4) del Dipartimento della Difesa e 1253F Privacy Overlay High PII (Personal Identifiable Information) + PHI (Protected Health Information) del Committee on National Security Systems (CNSSI).
Fai clic qui per visualizzare ServiceNow nel database FedRAMP
L'offerta di ServiceNow Government Community Cloud (GCC) attualmente possiede un'autorizzazione temporanea di Impact Level 4 (IL4) del Dipartimento della Difesa (DoD). Questo facilita il procurement di prodotti ServiceNow da parte del Dipartimento della Difesa statunitense e degli enti di Intelligence Community (IC) e definisce uno standard di base definito dalla DoD Cloud Computing Security Requirements Guide sviluppata dalla DISA (Defense Information Systems Agency).
ServiceNow ha ricevuto l'autorizzazione temporanea iniziale GCC DoD IL4 a ottobre 2019. L'autorizzazione temporanea DoD IL4 include i requisiti di controllo FedRAMP High e DoD IL4. L'offerta GCC di ServiceNow soddisfa inoltre i requisiti di controllo CNSSI 1253F Privacy Overlay High PII + PHI.
ServiceNow ha ottenuto un'autorizzazione temporanea del Dipartimento della Difesa USA Impact Level 5 (DoD IL5). Questo fa di ServiceNow National Security Cloud (NSC) una delle poche offerte software-as-a-service e platform-as-a-service (SaaS/PaaS) che hanno ricevuto la certificazione di conformità ai rigorosi requisiti di sicurezza della Department of Defense Cloud Computing Security Requirements Guide a livello Impact Level 5.
L'autorizzazione temporanea IL5 accelererà la trasformazione digitale del dipartimento, in quanto consente al DoD, ai partner che condividono la sua mission e a determinati enti federali di trasferire dati altamente riservati, tra cui le cosiddette Controlled Unclassified Information e Unclassified National Security Systems, alle soluzioni basate su cloud ServiceNow ospitate su Microsoft Azure Government.
MTCS Level 3 certifica che ServiceNow soddisfa gli standard in materia di confidenzialità e integrità dei dati dei nostri clienti nel cloud per Singapore. Si basa su ISO/IEC 27001 e tratta la sovranità, la conservazione e la disponibilità dei dati, unitamente alla pianificazione della continuità aziendale e al ripristino in caso di disastro.
ServiceNow è orgogliosa di aver ottenuto MTCS Level 3, che è il massimo livello di certificazione disponibile.
Le piattaforme australiane di ServiceNow sono state valutate in modo indipendente da un ente di valutazione IRAP approvato per soddisfare i controlli ISM australiani per i dati UFFICIALI e PROTETTI. La valutazione IRAP dei servizi cloud UFFICIALI e PROTETTI costituisce per i clienti del governo australiano una garanzia di affidabilità della NOW Platform e consente a ServiceNow di lavorare efficacemente con le agenzie governative australiane e i fornitori di infrastrutture critiche.
È possibile consultare ulteriori dettagli per i clienti australiani regolamentati qui: https://your.servicenow.com/microsoftregulatedindustries/australia
ServiceNow e il Digital Services Act dell'UE (regolamento (UE) 2022/2065 del Parlamento europeo e del Consiglio, del 19 ottobre 2022, relativo al mercato unico dei servizi digitali e che modifica la direttiva 2000/31/CE):
Si prega di indirizzare le comunicazioni in conformità a Digital Services Act dell'UE all'indirizzo DSACompliance@ServiceNow.com.
ServiceNow partecipa al programma Data Privacy Framework (DPF). Il DPF UE-USA, l'estensione britannica del DPF UE-USA e il DPF Svizzera-USA sono stati sviluppati rispettivamente dal Dipartimento del Commercio degli Stati Uniti e dalla Commissione Europea, dal Governo del Regno Unito e dall'Amministrazione Federale Svizzera per fornire alle organizzazioni statunitensi meccanismi affidabili per i trasferimenti di dati personali verso gli Stati Uniti dall'Unione Europea, dal Regno Unito e dalla Svizzera, garantendo al contempo una protezione dei dati coerente con la legislazione dell'UE, del Regno Unito e della Svizzera.
Ulteriori informazioni sul programma Data Privacy Framework sono disponibili qui (https://www.dataprivacyframework.gov/s/). La politica DPF di ServiceNow è disponibile qui (https://www.servicenow.com/data-privacy-framework.html).