De ISO/IEC 27017:2015-norm is gericht op de implementatie van de cloudspecifieke informatiebeveiligingsmaatregelen zoals gespecificeerd in ISO/IEC 27002.
De certificering wordt behaald door middel van een jaarlijkse onafhankelijke audit en ServiceNow is sinds 2018 een ISO/IEC 27017:2015-gecertificeerde organisatie.
De ISO/IEC 27001:2022-certificering specificeert best practices en controles op het gebied van beveiligingsbeheer op basis van de ISO/IEC 27002-gids met best practices. De certificering zorgt ervoor dat ons informatiebeveiligingsbeheersysteem (ISMS) is afgestemd op veranderingen in beveiligingsrisico's, wat essentieel zijn in de snelle wereld van IT-beveiliging.
Hercertificering wordt elke drie jaar door een audit verkregen, inclusief een jaarlijkse surveillanceaudit om aan te tonen dat ServiceNow:
- Een uitgebreide ISMS heeft ontworpen en geïmplementeerd.
- Een proces voor continu risicobeheer heeft ingevoerd om ervoor te zorgen dat de juiste informatiebeveiligingscontroles worden uitgevoerd om te voldoen aan een ontwikkelend risicolandschap en veranderende risico's.
- Op systematische wijze de risico's voor informatiebeveiliging evalueert en daarbij rekening houdt met verschillende factoren, waaronder de gevolgen van bedrijfsdreigingen en kwetsbaarheden.
ServiceNow is sinds 2012 een ISO/IEC 27001-gecertificeerde organisatie en het certificaat is hier beschikbaar.
De ISO/IEC 27018:2019 is een praktijkcode op basis van ISO/IEC 27002 en houdt zich bezig met de bescherming van persoonsgegevens (PII) in openbare clouds in overeenstemming met de privacybeginselen in ISO/IEC 29100.
De certificering wordt behaald door middel van een jaarlijkse onafhankelijke audit en ServiceNow is sinds 2016 een ISO/IEC 27018:2019-gecertificeerde organisatie.
Het SOC-framework (Service Organizational Control) is een attest dat ServiceNow voldoet aan de vereiste norm met betrekking tot beschikken over controles ter bescherming van de vertrouwelijkheid, integriteit en beschikbaarheid van de gegevens van onze klanten in de cloud.
- SOC 1 richt zich op de effectiviteit van interne controles die van invloed zijn op de financiële rapporten van klanten
- SOC 2 evalueert controles die relevant zijn voor beschikbaarheid, integriteit, beveiliging, vertrouwelijkheid of privacy.
ServiceNow wordt geaudit door een externe partij en heeft in 2011 zijn SSAE 18 SOC 1 Type 2-attest behaald (SSAE 18 heeft SSAE 16 vervangen in 2017). SSAE 18 is uitgelijnd met internationale norm ISAE3402 en vervangt de nu verouderde SAS70.
Het SOC 1-rapport van ServiceNow over de periode van 1 oktober (van het voorgaande kalenderjaar) tot 30 september (van het huidige kalenderjaar), is aan het eind van het kalenderjaar (december) beschikbaar via ServiceNow CORE.
Het SOC 1-rapport over de periode van 1 april t/m 31 maart is beschikbaar via ServiceNow CORE aan het eind van elk Q2 (juni).
ServiceNow heeft sinds 2013 ook een jaarlijkse SOC 2 Type 2-attest uitgevoerd. Deze is relevant voor beveiligings-, beschikbaarheids- en vertrouwelijkheidscontroles zoals vermeld in de ACICPA Trust Services Criteria (TSC).
Het SOC 2-rapport van ServiceNow behandelt de periode van 1 oktober (van het voorgaande kalenderjaar) tot 30 september (van het huidige kalenderjaar) en is aan het eind van het kalenderjaar (december) beschikbaar via ServiceNow CORE.
Tussen auditperioden wordt een Bridge Letter verstrekt zodat het bedrijf voor het gehele jaar gedekt is.
De SOC 1 bridge letter van ServiceNow over de periode van 1 oktober (van het voorgaande kalenderjaar) tot 31 december (van het huidige kalenderjaar) is aan het eind van Q1 van het volgende jaar beschikbaar via ServiceNow CORE
De SOC 1 bridge letter over de periode van 1 april t/m 30 juni is beschikbaar via ServiceNow CORE aan het eind van elk Q3.
DE SOC 2 bridge letter van ServiceNow behandelt de periode van 1 oktober (van het voorgaande kalenderjaar) tot 31 december (van het huidige kalenderjaar) en is aan het eind van Q1 van het volgende jaar beschikbaar via ServiceNow CORE.
De EU Cloud Code of Conduct (EU Cloud CoC) bestaat uit een aantal controlevereisten die bedoeld zijn om vertrouwen en transparantie in de Europese markt van cloudcomputing te bevorderen en het risicobeoordelingsproces van cloudserviceproviders voor klanten van cloudoplossingen te vereenvoudigen. Om te laten zien dat deze vereisten worden nageleefd, heeft ServiceNow een interne audit uitgevoerd van meer dan 80 EU Cloud CoC-vereisten en deze audit laten beoordelen door een externe partij. De externe validatie van de naleving van de EU Cloud CoC door ServiceNow getuigt van onze voortdurende inzet om de hoogste privacy- en beveiligingsstandaarden te handhaven naast onze bestaande beveiligings- en privacycertificeringen.
De services zijn geverifieerd in overeenstemming met de EU Cloud CoC, verificatie-id 2022LVL02SCOPE3113. Ga voor meer informatie naar https://eucoc.cloud/en/public-register.
Het aanbod van de Government Community Cloud (GCC) van ServiceNow bevat momenteel een High Baseline Provisional Authority to Operate (P-ATO) van het Federal Risk and Authorization Management Program (FedRAMP). Hierdoor kan ServiceNow de adoptie van onze veilige cloudoplossingen door Amerikaanse federale instanties en providers versnellen, en een gestandaardiseerde aanpak voor het beoordelen, monitoren en autoriseren van cloudcomputing-producten en -services implementeren, conform de Federal Information Security Management Act (FISMA).
GCC ontving de eerste GCC FedRAMP High Provisional Authority to Operate (P-ATO) in augustus 2019. GCC voldoet ook aan de Department of Defense (DoD) Impact Level 4 (IL4)- en CNSSI 1253F Privacy Overlay High PII + PHI-controlevereisten.
Klik hier om ServiceNow op de FedRAMP Marketplace te bekijken
Het aanbod van de Government Community Cloud (GCC) van ServiceNow bevat momenteel een Department of Defense (DoD) Impact Level 4 (IL4) Provisional Authorization (PA). Dit vergemakkelijkt de aankoop van ServiceNow-producten door het US Department of Defense (DoD) en de Intelligence Community (IC), en stelt een basislijn vast die wordt gedefinieerd door de Security Requirements Guide (SRG) van DoD Cloud Computing (CC), opgesteld door de Defense Information Systems Agency (DISA).
ServiceNow ontving zijn eerste GCC DoD IL4 PA in oktober 2019. De DoD IL4 PA bevat zowel FedRAMP High- als DoD IL4-controlevereisten. Het GCC-aanbod van ServiceNow voldoet ook aan de CNSSI 1253F Privacy Overlay High PII + PHI-controlevereisten.
Klik hier om ServiceNow in de DISA Storefront in de sectie Standard Offering te bekijken
ServiceNow heeft een U.S. Department of Defense (DOD) Impact Level 5 (IL5) Provisional Authorization verkregen. Hierdoor is de ServiceNow National Security Cloud (NSC) een van de weinige software-as-a-service- en platform-as-a-service (SaaS/PaaS)-aanbiedingen die zijn gebouwd en geautoriseerd om te voldoen aan de strenge cloudcomputing-beveiligingsvereisten op Impact Level 5 van met Department of Defense.
De IL5 Provisional Authorization zal de digitale transformatie van het DOD versnellen, omdat ze het DOD, haar missiepartners en geselecteerde federale instanties in staat stelt om zeer gevoelige gegevens, waaronder Gecontroleerde niet-geclassificeerde informatie en Niet-geclassificeerde nationale beveiligingssystemen, te verplaatsen naar cloudgebaseerde oplossingen van ServiceNow die worden gehost op Microsoft Azure Government.
MTCE Level 3 is een certificering die ervoor zorgt dat ServiceNow voldoet aan de normen met betrekking tot de vertrouwelijkheid en integriteit van de gegevens van onze klanten in de cloud voor Singapore. Het bouwt voort op ISO/IEC 27001 en dekt de soevereiniteit, retentie en beschikbaarheid van gegevens, evenals de planning van bedrijfscontinuïteit en noodherstel.
ServiceNow is er trots op om MTCE Level 3, het hoogst haalbare certificeringsniveau, te hebben behaald.
De Australische platforms van ServiceNow zijn onafhankelijk beoordeeld door een goedgekeurde IRAP-beoordelaar, om te voldoen aan de Australische ISM-controles voor OFFICIËLE en BESCHERMDE gegevens. De door IRAP beoordeelde OFFICIËLE en BESCHERMDE cloudservices bieden klanten van de Australische overheid vertrouwen in het NOW Platform en stellen ServiceNow in staat effectief contact te leggen met Australische overheidsinstanties en kritieke infrastructuurproviders.
Meer informatie over Australische gereguleerde klanten vind je hier: https://your.servicenow.com/microsoftregulatedindustries/australia
ServiceNow en de EU-wet inzake digitale diensten (Verordening (EU) 2022/2065 van het Europees Parlement en de Raad van 19 oktober 2022 betreffende een eengemaakte markt voor digitale diensten en tot wijziging van Richtlijn 2000/31/EG):
Alle communicatie in overeenstemming met de EU-wet op digitale diensten dient te worden gericht aan DSACompliance@ServiceNow.com.
ServiceNow is een deelnemer aan het DPF-programma (Data Privacy Framework). De EU-U.S. DPF, UK Extension to the EU-U.S. DPF, en Swiss-U.S. DPF zijn respectievelijk ontwikkeld door het U.S. Department of Commerce en de Europese Commissie, de regering van het Verenigd Koninkrijk en de Zwitserse federale overheid om Amerikaanse organisaties betrouwbare systemen te bieden voor de overdracht van persoonlijke gegevens naar de Verenigde Staten vanuit de Europese Unie, het Verenigd Koninkrijk en Zwitserland, waarbij gegevensbescherming wordt gegarandeerd die in overeenstemming is met de wetgeving van de EU, het Verenigd Koninkrijk en Zwitserland.
Meer informatie over het Data Privacy Framework-programma vind je hier (https://www.dataprivacyframework.gov/s/). Het DPF-beleid van ServiceNow is hier beschikbaar (https://www.servicenow.com/nl/data-privacy-framework.html).