De ISO/IEC 27017:2015-norm is gericht op de implementatie van de cloudspecifieke informatiebeveiligingsmaatregelen zoals gespecificeerd in ISO/IEC 27002.
De certificering wordt behaald door middel van een jaarlijkse onafhankelijke audit en ServiceNow is sinds 2018 een ISO/IEC 27017:2015-gecertificeerde organisatie.
De ISO/IEC 27001:2022-certificering specificeert best practices en controles op het gebied van beveiligingsbeheer op basis van de ISO/IEC 27002-gids met best practices. De certificering zorgt ervoor dat ons informatiebeveiligingsbeheersysteem (ISMS) is afgestemd op veranderingen in beveiligingsrisico's, wat essentieel zijn in de snelle wereld van IT-beveiliging.
Hercertificering wordt elke drie jaar door een audit verkregen, inclusief een jaarlijkse surveillanceaudit om aan te tonen dat ServiceNow:
- Een uitgebreide ISMS heeft ontworpen en geïmplementeerd.
- Een proces voor continu risicobeheer heeft ingevoerd om ervoor te zorgen dat de juiste informatiebeveiligingscontroles worden uitgevoerd om te voldoen aan een ontwikkelend risicolandschap en veranderende risico's.
- Op systematische wijze de risico's voor informatiebeveiliging evalueert en daarbij rekening houdt met verschillende factoren, waaronder de gevolgen van bedrijfsdreigingen en kwetsbaarheden.
ServiceNow is sinds 2012 een ISO/IEC 27001-gecertificeerde organisatie en het certificaat is hier beschikbaar.
De ISO/IEC 27018:2019 is een praktijkcode op basis van ISO/IEC 27002 en houdt zich bezig met de bescherming van persoonsgegevens (PII) in openbare clouds in overeenstemming met de privacybeginselen in ISO/IEC 29100.
De certificering wordt behaald door middel van een jaarlijkse onafhankelijke audit en ServiceNow is sinds 2016 een ISO/IEC 27018:2019-gecertificeerde organisatie.
Het SOC-framework (Service Organizational Control) is een attest dat ServiceNow voldoet aan de vereiste norm met betrekking tot beschikken over controles ter bescherming van de vertrouwelijkheid, integriteit en beschikbaarheid van de gegevens van onze klanten in de cloud.
- SOC 1 richt zich op de effectiviteit van interne controles die van invloed zijn op de financiële rapporten van klanten
- SOC 2 evalueert controles die relevant zijn voor beschikbaarheid, integriteit, beveiliging, vertrouwelijkheid of privacy.
ServiceNow wordt geaudit door een externe partij en heeft in 2011 zijn SSAE 18 SOC 1 Type 2-attest behaald (SSAE 18 heeft SSAE 16 vervangen in 2017). SSAE 18 is uitgelijnd met internationale norm ISAE3402 en vervangt de nu verouderde SAS70.
Het SOC 1-rapport van ServiceNow over de periode van 1 oktober (van het voorgaande kalenderjaar) tot 30 september (van het huidige kalenderjaar), is aan het eind van het kalenderjaar (december) beschikbaar via ServiceNow CORE.
Het SOC 1-rapport over de periode van 1 april t/m 31 maart is beschikbaar via ServiceNow CORE aan het eind van elk Q2 (juni).
ServiceNow heeft sinds 2013 ook een jaarlijkse SOC 2 Type 2-attest uitgevoerd. Deze is relevant voor beveiligings-, beschikbaarheids- en vertrouwelijkheidscontroles zoals vermeld in de ACICPA Trust Services Criteria (TSC).
Het SOC 2-rapport van ServiceNow behandelt de periode van 1 oktober (van het voorgaande kalenderjaar) tot 30 september (van het huidige kalenderjaar) en is aan het eind van het kalenderjaar (december) beschikbaar via ServiceNow CORE.
Tussen auditperioden wordt een Bridge Letter verstrekt zodat het bedrijf voor het gehele jaar gedekt is.
De SOC 1 bridge letter van ServiceNow over de periode van 1 oktober (van het voorgaande kalenderjaar) tot 31 december (van het huidige kalenderjaar) is aan het eind van Q1 van het volgende jaar beschikbaar via ServiceNow CORE
De SOC 1 bridge letter over de periode van 1 april t/m 30 juni is beschikbaar via ServiceNow CORE aan het eind van elk Q3.
DE SOC 2 bridge letter van ServiceNow behandelt de periode van 1 oktober (van het voorgaande kalenderjaar) tot 31 december (van het huidige kalenderjaar) en is aan het eind van Q1 van het volgende jaar beschikbaar via ServiceNow CORE.
De EU Cloud Code of Conduct (EU Cloud CoC) bestaat uit een aantal controlevereisten die bedoeld zijn om vertrouwen en transparantie in de Europese markt van cloudcomputing te bevorderen en het risicobeoordelingsproces van cloudserviceproviders voor klanten van cloudoplossingen te vereenvoudigen. Om te laten zien dat deze vereisten worden nageleefd, heeft ServiceNow een interne audit uitgevoerd van meer dan 80 EU Cloud CoC-vereisten en deze audit laten beoordelen door een externe partij. De externe validatie van de naleving van de EU Cloud CoC door ServiceNow getuigt van onze voortdurende inzet om de hoogste privacy- en beveiligingsstandaarden te handhaven naast onze bestaande beveiligings- en privacycertificeringen.
De services zijn geverifieerd in overeenstemming met de EU Cloud CoC, verificatie-id 2022LVL02SCOPE3113. Ga voor meer informatie naar https://eucoc.cloud/en/public-register.
Het aanbod van de Government Community Cloud (GCC) van ServiceNow bevat momenteel een High Baseline Provisional Authority to Operate (P-ATO) van het Federal Risk and Authorization Management Program (FedRAMP). Hierdoor kan ServiceNow de adoptie van onze veilige cloudoplossingen door Amerikaanse federale instanties en providers versnellen, en een gestandaardiseerde aanpak voor het beoordelen, monitoren en autoriseren van cloudcomputing-producten en -services implementeren, conform de Federal Information Security Management Act (FISMA).
GCC ontving de eerste GCC FedRAMP High Provisional Authority to Operate (P-ATO) in augustus 2019. GCC voldoet ook aan de Department of Defense (DoD) Impact Level 4 (IL4)- en CNSSI 1253F Privacy Overlay High PII + PHI-controlevereisten.
Klik hier om ServiceNow op de FedRAMP Marketplace te bekijken
Het aanbod van de Government Community Cloud (GCC) van ServiceNow bevat momenteel een Department of Defense (DoD) Impact Level 4 (IL4) Provisional Authorization (PA). Dit vergemakkelijkt de aankoop van ServiceNow-producten door het US Department of Defense (DoD) en de Intelligence Community (IC), en stelt een basislijn vast die wordt gedefinieerd door de Security Requirements Guide (SRG) van DoD Cloud Computing (CC), opgesteld door de Defense Information Systems Agency (DISA).
ServiceNow ontving zijn eerste GCC DoD IL4 PA in oktober 2019. De DoD IL4 PA bevat zowel FedRAMP High- als DoD IL4-controlevereisten. Het GCC-aanbod van ServiceNow voldoet ook aan de CNSSI 1253F Privacy Overlay High PII + PHI-controlevereisten.
Klik hier om ServiceNow in de DISA Storefront in de sectie Standard Offering te bekijken
ServiceNow heeft een U.S. Department of Defense (DOD) Impact Level 5 (IL5) Provisional Authorization verkregen. Hierdoor is de ServiceNow National Security Cloud (NSC) een van de weinige software-as-a-service- en platform-as-a-service (SaaS/PaaS)-aanbiedingen die zijn gebouwd en geautoriseerd om te voldoen aan de strenge cloudcomputing-beveiligingsvereisten op Impact Level 5 van met Department of Defense.
De IL5 Provisional Authorization zal de digitale transformatie van het DOD versnellen, omdat ze het DOD, haar missiepartners en geselecteerde federale instanties in staat stelt om zeer gevoelige gegevens, waaronder Gecontroleerde niet-geclassificeerde informatie en Niet-geclassificeerde nationale beveiligingssystemen, te verplaatsen naar cloudgebaseerde oplossingen van ServiceNow die worden gehost op Microsoft Azure Government.
MTCE Level 3 is een certificering die ervoor zorgt dat ServiceNow voldoet aan de normen met betrekking tot de vertrouwelijkheid en integriteit van de gegevens van onze klanten in de cloud voor Singapore. Het bouwt voort op ISO/IEC 27001 en dekt de soevereiniteit, retentie en beschikbaarheid van gegevens, evenals de planning van bedrijfscontinuïteit en noodherstel.
ServiceNow is er trots op om MTCE Level 3, het hoogst haalbare certificeringsniveau, te hebben behaald.
De Australische platforms van ServiceNow zijn onafhankelijk beoordeeld door een goedgekeurde IRAP-beoordelaar, om te voldoen aan de Australische ISM-controles voor OFFICIËLE en BESCHERMDE gegevens. De door IRAP beoordeelde OFFICIËLE en BESCHERMDE cloudservices bieden klanten van de Australische overheid vertrouwen in het NOW Platform en stellen ServiceNow in staat effectief contact te leggen met Australische overheidsinstanties en kritieke infrastructuurproviders.
Meer informatie over Australische gereguleerde klanten vind je hier: https://your.servicenow.com/microsoftregulatedindustries/australia
ServiceNow en de EU-wet inzake digitale diensten (Verordening (EU) 2022/2065 van het Europees Parlement en de Raad van 19 oktober 2022 betreffende een eengemaakte markt voor digitale diensten en tot wijziging van Richtlijn 2000/31/EG):
Alle communicatie in overeenstemming met de EU-wet op digitale diensten dient te worden gericht aan DSACompliance@ServiceNow.com.
ServiceNow is een deelnemer aan het DPF-programma (Data Privacy Framework). De EU-U.S. DPF, UK Extension to the EU-U.S. DPF, en Swiss-U.S. DPF zijn respectievelijk ontwikkeld door het U.S. Department of Commerce en de Europese Commissie, de regering van het Verenigd Koninkrijk en de Zwitserse federale overheid om Amerikaanse organisaties betrouwbare systemen te bieden voor de overdracht van persoonlijke gegevens naar de Verenigde Staten vanuit de Europese Unie, het Verenigd Koninkrijk en Zwitserland, waarbij gegevensbescherming wordt gegarandeerd die in overeenstemming is met de wetgeving van de EU, het Verenigd Koninkrijk en Zwitserland.
Meer informatie over het Data Privacy Framework-programma vind je hier (https://www.dataprivacyframework.gov/s/). Het DPF-beleid van ServiceNow is hier beschikbaar (https://www.servicenow.com/nl/data-privacy-framework.html).
De certificering ISO 9001:2015 specificeert best practices en controls voor het kwaliteitsbeheersysteem (QMS), zodat een organisatie consistent producten en services levert die voldoen aan de behoeften van klanten en de regelgeving. Het laat zien dat we ons inzetten voor het handhaven van hoge kwaliteitsnormen en het bevorderen van continue verbetering in elk aspect van onze activiteiten.
Hercertificering wordt bereikt door middel van een audit om de drie jaar, met een jaarlijkse surveillanceaudit om te bevestigen dat onze organisatie:
- Een robuust QMS heeft ontworpen en geïmplementeerd, zodat alle processen zijn afgestemd op de best practices in de branche.
- Zich richt op een klantgerichte benadering om consistente tevredenheid en betrokkenheid te garanderen.
- Een cultuur van continue verbetering onderhoudt, met behulp van op gegevens gebaseerde inzichten en feedback om processen te verfijnen en prestaties te stimuleren.
- Actief risico's en kansen beoordeelt om de effectiviteit van het QMS te verbeteren en zich aan te passen aan veranderende markt- en operationele omstandigheden.
De ISO/IEC 20000-1:2018-certificering specificeert de best practices voor IT-servicebeheer (ITSM), waardoor organisaties hoogwaardige IT-services leveren die voldoen aan de behoeften van klanten en aan wettelijke vereisten. Het toont onze toewijding aan het beheren en verbeteren van de kwaliteit van onze IT-serviceverlening, terwijl we ons blijven richten op efficiëntie en klanttevredenheid.
Hercertificering wordt bereikt door middel van een audit om de drie jaar, met een jaarlijkse surveillanceaudit om te bevestigen dat onze organisatie:
- Een uitgebreid IT-servicebeheersysteem (SMS) heeft ontwikkeld en geïmplementeerd dat voldoet aan de ISO/IEC 20000-1-normen.
- Voortdurend de prestaties en levering van IT-services monitort en verbetert, zodat deze voldoen aan de verwachtingen van klanten en branchebenchmarks.
- Een systematische aanpak van het beheer van servicegerelateerde risico's en kansen waarborgt, waarbij de afstemming op de veranderende behoeften van klanten en technologische trends wordt gehandhaafd.
- Een cultuur van continue serviceverbetering (CSI) stimuleert, waarbij feedback en meetwaarden worden gebruikt om IT-serviceprocessen te optimaliseren en consistente, betrouwbare servicelevering te garanderen.
De ISO 22301:2019-certificering beschrijft best practices voor bedrijfscontinuïteitsbeheersystemen (BCMS), zodat organisaties voorbereid zijn om effectief te reageren op onderbrekingen en kritieke bedrijfsactiviteiten te onderhouden. Het toont aan dat we ons inzetten om de veerkracht en continuïteit van activiteiten te waarborgen in geval van mogelijke crises of noodsituaties.
Hercertificering wordt bereikt door middel van een audit om de drie jaar, met een jaarlijkse surveillanceaudit om te bevestigen dat onze organisatie:
- Een robuust BCMS heeft ontwikkeld en geïmplementeerd dat voldoet aan de ISO 22301-normen.
- Een proactieve benadering hanteert om mogelijke dreigingen voor de bedrijfscontinuïteit te identificeren en te beperken, zodat essentiële services altijd beschikbaar blijven.
- Herstelplannen systematisch evalueert en test om ervoor te zorgen dat deze effectief zijn bij het minimaliseren van de impact van onderbrekingen en het onderhouden van kritieke bedrijfsfuncties.
- Continue verbetering bevordert.
Het Esquema Nacional de Seguridad (ENS) is een Spaans certificeringsframework waarin de criteria en vereisten worden vastgesteld om een adequate bescherming van elektronische informatie op het gebied van elektronisch beheer te waarborgen. Het ENS is onderworpen aan een koninklijk besluit en stelt normen vast voor overheidsdiensten en entiteiten, maar ook voor particuliere bedrijven die openbare gegevens verwerken. Het ENS classificeert gegevens op basis van vertrouwelijkheid en de daarmee uitgevoerde activiteiten en definieert verschillende niveaus van beveiligingsmaatregelen, van de basis- tot de hoogste beveiliging, om een robuuste gegevensbescherming, effectief incidentbeheer en periodieke compliancecontroles door middel van audits te garanderen. Deze certificering is van essentieel belang om het vertrouwen te bevorderen in de elektronische services die door en binnen de Spaanse overheid worden geleverd.
ServiceNow voldoet aan de vereisten van ENS op het niveau 'Hoog'.