Close

Sicherheitsverfahren

Wir glauben, dass in jedem Team das Potenzial für herausragende Leistungen steckt. Wir möchten Teams jeder Größe und aus allen Branchen dabei helfen, dieses Potenzial zu entfalten und die Menschheit durch Software voranzubringen. 

Wir wissen, dass deine Mission für dich genauso wichtig ist wie unsere Mission für uns, und dass Informationen ein wichtiger Bestandteil unseres Unternehmens und unseres Lebens sind. Im Mittelpunkt unserer Arbeit steht deshalb das Vertrauen unserer Kunden und Sicherheit hat für uns oberste Priorität. Mit unserem transparenten Sicherheitsprogramm wollen wir erreichen, dass du dich bei der Nutzung unserer Produkte und Services ausreichend informiert und sicher fühlst.

Erfahre mehr über unseren Sicherheitsansatz sowie darüber, wie Kunden sich einbringen können.

Die Informationen auf dieser Seite gelten für die Atlassian Cloud-Produkte Jira, Confluence und Bitbucket, sofern nicht anders vermerkt.

Unsere Maßnahmen

Unser Atlassian Trust Management System (ATMS) betrachtet die Sicherheitsanforderungen jedes einzelnen Kunden und destilliert daraus eine Reihe von Anforderungen und Initiativen, die für uns und unsere Umgebung einzigartig sind. Ausführliche Informationen zu unseren Initiativen findest du auf der "Atlassian Trust"-Website. Dort kannst du unsere Prüfprotokolle zu ISO 27001 und SOC2 anfordern bzw. herunterladen und unseren CSA STAR-Fragebogen einsehen. Natürlich findest du auch weitere Details zum Atlassian Trust Management System (ATMS).

Integrierte Sicherheit

Für uns ist Sicherheit kein fixes Ziel, das wir irgendwann erreichen werden, sondern eine Reise, die niemals endet. Wir arbeiten hart daran, unsere Softwareentwicklungsprozesse und innerbetrieblichen Abläufe kontinuierlich zu verbessern, um die Sicherheit unserer Software und Services weiter zu erhöhen. Dabei sollte Sicherheit immer auch einfach sein. Deshalb sind alle diesbezüglichen Funktionen tief mit unseren Produkten und unserer Infrastruktur verwoben. Im Folgenden zeigen wir dir anhand einiger Beispiele, wie wir Sicherheit in unseren Alltag integrieren.

Architektur

Wenn wir unsere Anwendungen, Netzwerke und Geschäftsprozesse planen, steht Sicherheit immer an erster Stelle

Die Sicherheitsarchitektur der Atlassian Cloud deckt verschiedenste Branchenstandards und Frameworks ab und geht Hand in Hand mit unserem internen Prozess zur Bedrohungsmodellierung. Sie vereint Flexibilität mit wirksamen Kontrollmechanismen, die es uns erlauben, die Vertraulichkeit, Integrität und Verfügbarkeit von Kundendaten sicherzustellen. 

Anwendungen

Sicherheit in der Anwendungsentwicklung, Datensicherheit und Information Lifecycle Management.

Sicherheit

Kryptografie und Verschlüsselung, Bedrohungs- und Schwachstellenmanagement, Management von Sicherheitsvorfällen

Infrastruktur

Asset-Management, Zugriffskontrolle, Betriebsabläufe, Kommunikationssicherheit

Data Center und Büros

Physische und umgebungsbezogene Sicherheit

Unternehmen

Sicherheits-Governance, Organisation der Sicherheit, Personalsicherheit, Management von Zulieferer- und Drittanbieterdaten, Sicherheit von Mobilgeräten, Geschäftskontinuität, Audit/Compliance, Datenschutz.

Die Sicherheitskontrollen, auf denen unsere Architektur fußt, decken verschiedene Standards ab. Weil es zwischen diesen Standards viele Überschneidungen gibt, haben wir unser eigenes Kontrollframework entwickelt. Dieses Framework gibt uns klar vor, worauf wir uns konzentrieren müssen, und legt die Standards dar, die für uns gelten, wie in Tabelle 1 zu sehen ist.

Standard Sponsor Kontrollen Domänen

ISO27001

Internationale Organisation für Normung

26 Anforderungen

6 Klauseln

ISO27002

Internationale Organisation für Normung

114 Anforderungen

14 Domänen

PCI-DSS

Payment Card Industries

247 Anforderungen

6 Domänen

CSA CCM

Cloud Security Alliance

133 Kontrollen

16 Domänen

SOC2

Service Organisation Controls

116 Anforderungen

5 Prinzipien

SOX 404 (IT)

US-Bundesrecht

22 Anforderungen

5 Domänen

GAPP

AICPA

106 Anforderungen

10 Domänen

Weitere Einzelheiten erhältst du in der Beschreibung unseres Common Controls Framework.

 

Networking

Beim Netzwerkzugang verfolgen wir einen schichtenbasierten Ansatz, wobei es für jede Schicht im Stack eigene Kontrollen gibt

Jede Schicht im Stack ist durch Kontrollen gesichert. Unsere Infrastruktur ist in Zonen, Umgebungen und Services unterteilt.

Zonenbeschränkungen betreffen zum Beispiel den möglichen Netzwerkverkehr in den Büros, im Data Center und über die Plattform. Umgebungen wie Produktion und Entwicklung sind voneinander getrennt, Verbindungen sind beschränkt. Services müssen über eine Authentifizierungsfreigabeliste explizit für die Kommunikation mit anderen Services autorisiert werden.

Den Zugriff auf unsere sensiblen Netzwerke schützen wir mithilfe von Virtual-Private-Cloud (VPC)-Routing, Firewallregeln und softwarebasiertem Networking. Alle Verbindungen werden standardmäßig verschlüsselt.

Der Netzwerkzugriff für Mitarbeiter ist durch Gerätezertifikate, Multi-Faktor-Authentifizierung und Proxys für besonders sensible Netzwerkbereiche beschränkt. Der Zugriff auf Kundendaten ist nur nach Prüfung und Genehmigung möglich.

Zum Schutz vor potenziellen Sicherheitsproblemen haben wir in den Netzwerken der Büro- und Produktionsumgebung Systeme zur Angriffserkennung und -verhinderung implementiert.

Anwendung

Wir nutzen Bedrohungsmodellierung (Threat Modeling), um sicherzustellen, dass wir für jede Bedrohung, der wir ausgesetzt sind, die passenden Kontrollen implementiert haben

In der Produktplanungs- und Produktdesignphase nutzen wir Bedrohungsmodelle zur Bewertung der spezifischen Sicherheitsrisiken, die mit einem Produkt oder einer Funktion einhergehen. Grob gesagt kommen dabei Entwickler, Sicherheitsexperten, Architekturspezialisten und die Produktmanager einer Anwendung oder eines Service zu einem Brainstorming zusammen, bei der mögliche Bedrohungen benannt und priorisiert werden. Die gewonnenen Erkenntnisse fließen in die Entwicklung von Kontrollmechanismen während des Designprozesses ein und ermöglichen in späteren Entwicklungsphasen zielgerichtete Funktionsprüfungen und Tests.

Wir verwenden das Microsoft Threat Modeling Tool und das STRIDE Threat Model Framework. Das Kürzel STRIDE setzt sich aus den Anfangsbuchstaben typischer Sicherheitsgefahren zusammen: Spoofing, Tampering, Reputation, Information Disclosure, Denial of Service und Elevation of Privilege (Spoofing, Manipulation, Rufschädigung, Informationspreisgabe, Denial of Service und Erhöhung von Berechtigungen).

Die Bedrohungsmodellierung kommt bei uns frühzeitig und häufig zum Einsatz. So sorgen wir dafür, dass es für alle Bedrohungen, die unsere Produkte oder Funktionen betreffen, relevante Sicherheitskonfigurationen und -kontrollen gibt. 

Zuverlässigkeit

Unsere Kunden nutzen unsere Anwendungen sehr unterschiedlich. Aus Gesprächen mit ihnen wissen wir, dass Produkte wie Jira und Confluence oft Teil ihrer wichtigsten Geschäftsprozesse sind. Natürlich verlassen wir uns auch selbst auf unsere eigene Produktsuite, weswegen wir genau wissen, welch hohen Stellenwert Zuverlässigkeit und Wiederherstellbarkeit haben.

Plattformweite Verfügbarkeit und Redundanz

Wir betreiben mehrere Data Center an verschiedenen Orten weltweit

Unsere Cloudanwendungen werden alle bei den Cloud-Hosting-Partnern AWS und NTT gehostet. Deren Data Center sind speziell für das Anwendungshosting optimiert, sind mehrfach redundant ausgelegt und werden auf einem getrennten Frontend-Hardwareknoten ausgeführt, auf dem die Anwendungsdaten gespeichert werden.

Besonderen Wert legen wir auf die hohe Verfügbarkeit unserer Daten und Services. Wir erreichen Produktresilienz, indem wir uns an Standards und Verfahren orientieren, die uns eine Minimierung von Ausfallzeiten ermöglichen. Unsere Resilienzmechanismen basieren auf SOC2, ISO 27002 und ISO 22301.

Jira, Confluence, Statuspage, Trello, Opsgenie und Jira Align werden beim branchenführenden Cloud-Hosting-Anbieter Amazon Web Services (AWS) gehostet, wodurch wir weltweit optimale Performance mit Redundanz und Failover-Optionen sicherstellen können. Unsere Lösungen sind auf mehrere Availability Zones in den Regionen USA (Ost) und USA (West), Europäische Union sowie APAC verteilt.

Unser Data-Center-Hosting-Partner für Bitbucket ist NTT, die mit SOC2- und ISO27001-Zertifizierungen Sicherheit und Verfügbarkeit gewährleisten und uns zudem in ausreichendem Maße nachweisen, bei Aspekten wie physischer Sicherheit, Netzwerk- und IP-Backbone-Zugriff, Kunden-Provisioning und Problemmanagement die von uns geforderten Standards zu erfüllen.

Weitere Informationen dazu, wie wir mithilfe mehrerer Data Center und Availability Zones für Hochverfügbarkeit sorgen, findest du auf unseren Seiten zur Verwaltung von Kundendaten und zu unserer Cloud-Hosting-Infrastruktur.

Backups

Wir haben ein umfangreiches Backup-Programm implementiert

Die Anwendungsdaten werden in einem ausfallsicheren Speicher abgelegt und übergreifend in unseren Data Centers repliziert. Zusätzlich zu plattformweiter Resilienz haben wir ein umfangreiches Backup-Programm für unsere Atlassian Cloud-Angebote eingerichtet. Die Wiederherstellung dieser Backups ist jedoch ausschließlich über unsere eigene Atlassian Cloud-Plattform möglich. 

Die Anwendungsdatenbanken von Atlassian Cloud werden in den folgenden Intervallen gesichert: Tägliche automatisierte Backups werden erstellt und 30 Tage lang aufbewahrt und können zeitpunktspezifisch wiederhergestellt werden. Snapshot- und Backup-Daten werden grundsätzlich verschlüsselt. Die Backupdaten werden nicht extern gespeichert, sondern in mehreren Data Centers innerhalb einer bestimmten AWS-Region repliziert. Die Backups werden alle drei Monate getestet. Weitere Informationen findest du auf der Seite zur Infrastruktur. Wenn du wissen möchtest, wie wir unser Backup-Programm implementiert haben, schau dir unsere Seite zur Verwaltung von Kundendaten an.

Business Continuity und Disaster Recovery

Wir verfügen über umfassende, getestete Pläne für Business Continuity und Disaster Recovery

Erstklassiger Kundenservice ist einer der Grundwerte unseres Unternehmens. Dazu gehören auch leistungsfähige Business-Continuity (BC)- und Disaster-Recovery (DR)-Funktionen, mit denen wir die Auswirkungen etwaiger Unterbrechungen und Störungen unserer Services auf unsere Kunden abmildern.

Unser Disaster-Recovery-Programm basiert auf einigen wenigen zentralen Maßnahmen, mit denen wir Governance, Kontrolle und Tests in angemessenem Umfang sicherstellen:

  1. Governance. Die Führungsebene ist ein wichtiges Element unseres DR-Programms. Indem wir die Führungsebene einbinden, decken wir in unserer Ausfallsicherheitsstrategie sowohl geschäftliche als auch technische Faktoren ab.
  2. Kontrolle und Wartung. Die Überwachung und Verwaltung unseres DR-Programms folgt einem strengen Governance-, Risiko- und Compliance-Ansatz. Dies ermöglicht uns eine effiziente und zielführende Vorgehensweise bei der Kontrolle, Messung, Protokollierung und Anpassung wichtiger Aktivitäten innerhalb unseres DR-Programms. Unsere Site Reliability Engineers – Techniker, die speziell für die Sicherheit unserer Site zuständig sind –, nehmen an Disaster-Recovery-Meetings teil, in denen sie jeweils die Services vertreten, für die sie zuständig sind. Sie besprechen DR-Defizite mit dem Risiko- und Compliance-Team und kümmern sich um Abhilfemaßnahmen, sofern erforderlich.
  3. Tests. Wir führen im Rahmen unseres DR-Lebenszyklus regelmäßig Tests durch und arbeiten kontinuierlich daran, uns zu verbessern, um die dauerhaft hohe und schnelle Verfügbarkeit deiner Daten sicherzustellen.
    1. Wir testen die Resilienz der AWS Availability Zones, damit wir den Ausfall einer Availability Zone mit minimaler Unterbrechung bewältigen können.
    2. Datenbackups verteilen wir auf mehrere regionale AWS Data Center. Fällt eine Region aus, sind deine Daten auch im Katastrophenfall in einer sekundären Region sicher aufgehoben. 
    3. Wir testen den Ausfall einer ganzen AWS Region. Auch wenn dieser Fall extrem unwahrscheinlich ist, möchten wir vorbereitet sein. Wir testen den Failover unserer Services und arbeiten daran, unsere regionale Resilienz weiter zu verbessern.
    4. Wir haben Backup- und Wiederherstellungsverfahren eingerichtet und testen diese regelmäßig. Wenn du also deine Daten wiederherstellen musst, stehen unsere kompetenten Mitarbeiter bereit und unterstützen dich mit vollständig getesteten Verfahren.

Im DR-Programm von Atlassian geht es nicht nur um Governance, Kontrolle und Tests. Vielmehr ist darin auch die kontinuierliche Verbesserung des Programms selbst festgeschrieben. Weitere Informationen zu unseren Disaster-Recovery-Testverfahren und unserem Business-Continuity-Programm findest du auf unserer Seite zur Verwaltung von Kundendaten.

Wir aktualisieren den Verfügbarkeitsstatus unserer Services in Echtzeit, damit du jederzeit auf deine Daten zugreifen kannst. 

Produktsicherheit

In unserer Branche herrscht ein hoher Innovationsdruck. Das heißt, wir müssen Produkte schnell auf den Markt bringen, um erfolgreich zu sein. Dabei dürfen wir aber niemals die Sicherheit aus den Augen verlieren. Unser Ziel ist es, das richtige Verhältnis zwischen Geschwindigkeit und Sicherheit zu finden — schließlich arbeiten wir bei Atlassian fast ausschließlich mit unserer eigenen Software. Um die Sicherheit unserer Produkte und Daten zu gewährleisten, haben wir einige Sicherheitsmaßnahmen implementiert.

Verschlüsselung und Schlüsselmanagement

Verschlüsselung während der Übertragung

Alle Kundendaten, die in Atlassian Cloud-Produkten gespeichert sind, werden bei der Übertragung über öffentliche Netzwerke mithilfe von Transport Layer Security (TLS) 1.2+ mit Perfect Forward Secrecy (PFS) verschlüsselt, um sie vor einer unautorisierten Veröffentlichung oder Modifikation zu schützen. Unsere Implementierung von TLS setzt die Verwendung starker Chiffren und Schlüssellängen voraus, sofern diese vom Browser unterstützt werden.

Verschlüsselung ruhender Daten

Datenlaufwerke auf Servern, auf denen Kundendaten und Anhänge in Jira Software Cloud, Jira Service Desk Cloud, Jira Core Cloud, Confluence Cloud, Statuspage, Opsgenie und Trello gespeichert sind, verwenden im Ruhezustand die AES-256-Verschlüsselung nach Branchenstandard. Für Bitbucket wird die Verschlüsselung ruhender Daten für Repositorys derzeit nicht unterstützt.

Im Falle von ruhenden Daten werden vor allem Kundendaten auf Festplatte verschlüsselt, zum Beispiel Jira-Vorgangsdaten (Details, Kommentare, Anhänge) oder Confluence-Seitendaten (Seiteninhalt, Kommentare, Anhänge). Die Verschlüsselung ruhender Daten dient als Schutz vor unberechtigtem Zugriff und sorgt dafür, dass nur autorisierte Rollen und Services mit geprüftem Zugang zu den Verschlüsselungsschlüsseln auf die Daten zugreifen können.

Verwaltung von Verschlüsselungsschlüsseln

Atlassian nutzt den AWS Key Management Service (KMS) für das Schlüsselmanagement. Der Verschlüsselungs-, Entschlüsselungs- und Schlüsselmanagementprozess wird im Rahmen interner Prüfprozesse bei AWS regelmäßig untersucht und verifiziert. Jedem Schlüssel wird ein Eigentümer zugewiesen, der dafür zuständig ist, dass angemessene Sicherheitsmaßnahmen für die Schlüssel in Kraft sind.

Mandantenisolierung

Durch die Isolierung von Mandanten können unsere Kunden eine gemeinsame Infrastruktur nutzen, sind aber gleichzeitig logisch voneinander getrennt, sodass die Aktionen des einen Mandanten keine Auswirkungen auf die Daten oder den Service eines anderen haben.

Je nach Anwendung ist die Mandantenisolierung bei Atlassian unterschiedlich gelöst, wobei wir versuchen, die Ansätze mit der Zeit zu vereinheitlichen. Für Jira und Confluence Cloud, die sich über die Jahre zu ausgewachsenen mandantenfähigen SaaS-Anwendungen entwickelt haben, setzt Atlassian auf ein Konzept, das wir Tenant Context (Mandantenkontext) getauft haben. Umgesetzt ist es sowohl im Anwendungscode als auch in Form des "Tenant Context Service" (TCS). Diese Herangehensweise sorgt dafür, dass in der gemeinsamen Umgebung:

  • die ruhenden Daten jedes Kunden logisch getrennt von den anderen Mandanten aufbewahrt werden; und
  • alle Anfragen, die über Jira oder Confluence verarbeitet werden, über eine "mandantenspezifische" Ansicht verfügen, sodass andere Mandanten davon nicht betroffen sind.

Der TCS ist unabhängig von Jira und Confluence, jedoch unverzichtbar für deren Funktionsweise. Vereinfacht gesagt speichert der TCS für die einzelnen Mandanten der Kunden einen "Kontext". Dieser besteht aus einer Reihe von mandantenspezifischen Metadaten (z. B. die Datenbanken, die der Mandant nutzt, welche Lizenzen der Mandant besitzt, auf welche Funktionen er Zugriff hat sowie verschiedene andere Konfigurationsinformationen) und eindeutigen verschlüsselten Anmeldeinformationen. Dem Kontext eines Mandanten ist eine eindeutige ID zugeordnet, die vom TCS zentral gespeichert wird.

Wenn ein Kunde auf Jira oder Confluence Cloud zugreift, stellt der TCS die Metadaten anhand der Mandanten-ID zusammen, und verknüpft diese dann mit allen Aktionen, die der Mandant im Sitzungsverlauf in der Anwendung vornimmt. Der vom TCS bereitgestellte Kontext funktioniert dabei wie eine "Linse", durch die alle Interaktionen mit den Kundendaten getunnelt werden – und diese Linse ist immer auf einen einzigen Mandanten ausgerichtet. So ist sichergestellt, dass der Mandant nicht auf die Daten anderer Mandanten zugreifen kann oder ein Mandant durch seine Aktionen den Service eines anderen Mandanten beeinflusst.

Weitere Informationen zur Architektur der Atlassian Cloud.

Produktsicherheitstests

Wir loben Bug Bountys sowohl in internen als auch in externen Sicherheitstestprogrammen aus

Das Schwachstellenmanagement für unsere Produkte umfasst interne und externe Sicherheitstests. Bekannte Probleme werden in unserem öffentlichen Bug-Tracker veröffentlicht.

Interne Tests

Dieser Prozess betrifft die Planungs-, Entwicklungs- und Testphasen. Die Tests bauen aufeinander auf und werden immer anspruchsvoller. Sowohl in der Entwicklungs- als auch in der Testphase führen wir statische und dynamische Codeanalysen durch. In der Entwicklungsphase beschränken wir uns auf die Integration von Codescans, um alle funktionalen und sofort erkennbaren, nicht funktionalen Sicherheitsprobleme auszuräumen.

In der Testphase schalten unsere Entwicklungs- und Sicherheitstechnikteams auf einen antagonistischen Ansatz um und versuchen, mithilfe automatisierter und manueller Testmethoden Fehler in Funktionen hervorzurufen.

Unser Sicherheitstechnikteam hat eine ganze Reihe von Sicherheitstesttools zur Automatisierung häufiger Aufgaben entwickelt und versorgt unsere Produktteams mit spezialisierten Testtools. Diese Tools unterstützen das Sicherheitsteam und ermöglichen es den Entwicklern, auf eigene Faust Sicherheitsprüfungen durchzuführen und die Zuständigkeit für die Ergebnisse zu übernehmen. Die Mitglieder unseres Sicherheitstechnikteams sind allesamt Experten auf ihrem Gebiet, aber letztlich ist jeder Entwickler in unserem Unternehmen für seinen Code selbst verantwortlich.

Externe Tests

Externe Tests erfolgen erst dann, wenn ein Release in die Produktionsphase eintritt. Diese Vorgehensweise beruht auf dem Konzept der "kontinuierlichen Sicherheit". Statt punktueller Penetrationstests nutzen wir ein durchgehend aktives Modell für Tests, das in Form eines öffentlichen Bug-Bounty-Programms mit Crowdsourcing umgesetzt wird.

Wenn ein Benutzer im Rahmen der normalen Verwendung eines unserer Produkte eine Schwachstelle erkennt, begrüßen wir jede Benachrichtigung und reagieren zeitnah auf alle gemeldeten Schwachstellen (wie in unserem Schwachstelleninformationsbericht dargelegt). Wir halten den Einsender auf dem Laufenden, während wir das Problem untersuchen und bearbeiten.

Bei Produkten und Infrastrukturen mit hohem Risiko beauftragen wir Sicherheitsberatungsunternehmen mit Penetrationstests. Dies kann beispielsweise bei einer neuen Infrastrukturarchitektur (z. B. unserer Cloud-Umgebung), einem neuen Produkt oder einer grundlegenden Umgestaltung der Architektur (z. B. zur verstärkten Nutzung von Microservices) der Fall sein.

Unser Ansatz für Penetrationstests ist sehr zielgerichtet und fokussiert. Im Allgemeinen werden Tests folgender Art durchgeführt:

White-Box-Tests: Die Tester erhalten zur Unterstützung ihrer Tests Designdokumente und Briefings von unseren Produktentwicklern.
Tests mit Code-Unterstützung: Die Tester erhalten umfassenden Zugriff auf die relevante Codebasis, damit sie unerwartetes Systemverhalten bei den Tests besser diagnostizieren und potenzielle Ziele leichter ermitteln können.
Bedrohungsbasierte Tests: Bei den Tests liegt der Fokus auf einem bestimmten Bedrohungsszenario, beispielsweise einer infizierten Instanz, bei der dann die laterale Verbreitung von diesem Ausgangspunkt aus getestet wird.

Da wir den Testern für diese Beurteilungen umfangreiche interne Informationen zur Verfügung stellen, werden diese Berichte und Extracts nicht von uns veröffentlicht. Die meisten dieser Systeme und Produkte werden später in unser öffentliches Bug-Bounty-Programm aufgenommen. So erhalten Kunden die gewünschte laufende externe Bestätigung der Sicherheit. Weitere Informationen zur Validierung von Produktsicherheitstests findest du auf der Seite zu unserem Ansatz für externe Sicherheitstests.

Produktschwachstellenmanagement

Wir gehen neue Wege bei der Entwicklung hochwertiger Software

Um neue Funktionen möglichst schnell und sicher bereitzustellen, gehen wir über die herkömmliche Qualitätssicherung (Quality Assurance, QA) hinaus und verfolgen einen Ansatz, den wir Quality Assistance* nennen. Unser Ansatz ist ganzheitlich und bindet das gesamte Team ein. Bei uns hat die QA eine moderierende Funktion, anstatt für die eigentliche QA-Umsetzung zuständig zu sein. Gleichzeitig schulen wir unsere Entwickler daran, ihre eigenen Funktionen auf die Einhaltung unserer Qualitätsstandards zu testen.

Wir tun viel dafür, die Zahl der Schwachstellen in unseren Produkten zu reduzieren. Gleichzeitig wissen wir, dass Schwachstellen bis zu einem gewissen Grad ein unvermeidlicher Bestandteil des Entwicklungsprozesses sind. Durch unsere Bug-Bounty-Partnerschaft versuchen wir, den Zeit- und Ressourcenaufwand für die Suche und den Exploit von Schwachstellen für Hacker nach oben zu treiben und damit unattraktiv zu machen. Weitere Informationen zu unserer Vorgehensweise beim Produktschwachstellenmanagement findest du auf der Seite Unser Ansatz für externe Sicherheitstests.

*Hinweis: Der Begriff "Quality Assistance" wurde von Cem Kaner geprägt. In unserer Blogpost-Reihe zum Thema QA erfährst du mehr darüber und über unseren allgemeinen Qualitätsprozess.

Betriebliche Verfahren

Sicherheit hat viele Facetten. Sie betrifft nicht nur unsere Produkte, sondern auch sicherheitsbewusste Verhaltensweisen in unserer täglichen Arbeit. Das Konzept der "integrierten Sicherheit" basiert auf derselben Philosophie, die wir bei unseren internen Prozessen verfolgen und die unser geschäftliches Handeln bestimmt.

Zugriff auf Kundendaten

Der Zugriff auf Kundendaten, die in den Anwendungen gespeichert sind, ist auf die Personen beschränkt, die ihn wirklich benötigen

Innerhalb unserer SaaS-Plattform gilt für alle Kundendaten dieselbe Vertraulichkeitsstufe. Der Zugriff auf diese Daten wird streng kontrolliert. Unsere Mitarbeiter und Auftragnehmer nehmen im Rahmen des Onboardings bzw. der Einarbeitung an einer Sensibilisierungsmaßnahme teil und erlernen den sicherheitsbewussten Umgang mit Kundendaten.  

Innerhalb unseres Unternehmens haben ausschließlich autorisierte Mitarbeiter von Atlassian Zugriff auf die Kundendaten, die in unseren Anwendungen gespeichert sind. Die Authentifizierung erfolgt über individuelle passwortgeschützte öffentliche Schlüssel. Die Server akzeptieren nur eingehende SSH-Verbindungen von Atlassian und internen Data-Center-Standorten.

Der unautorisierte oder missbräuchliche Zugriff auf Kundendaten wird als Sicherheitsvorfall eingestuft und über unseren Vorfallmanagementprozess verfolgt. Der Prozess umfasst Anweisungen zur Benachrichtigung betroffener Kunden, sofern es zu einem Richtlinienverstoß kam.

Zu den Data Centern, in denen die Daten unserer Kunden gehostet werden, hat nur autorisiertes Personal Zutritt. Dieser ist durch biometrische Sicherheitsvorkehrungen geschützt. Vor Ort sorgen außerdem Wachpersonal, Videoüberwachungsanlagen, Zugangsschleusen und weitere Einbruchsschutzmaßnahmen für Sicherheit.

Eine allgemeiner gefasste Richtlinie bezüglich des Zugriffs auf Kundendaten und Metadaten ist Teil unserer Datenschutzrichtlinie.

Supportzugang

Unsere Supportteams greifen auf Kundendaten nur dann zu, wenn es zur Lösung eines offenen Tickets erforderlich ist

Zur Unterstützung von Wartungs- und Supportprozessen hat unser weltweites Supportteam Zugriff auf unsere cloudbasierten Systeme und Anwendungen. Der Zugriff auf die gehosteten Anwendungen und Daten ist nur zur Überwachung der Anwendungsfunktionen und Durchführung von System- und Anwendungswartungen zulässig, sowie nach Kundenanfrage über unser Supportsystem.

Schulung und Sensibilisierung

Unser Sicherheitsschulungs- und Sensibilisierungsprogramm besteht nicht nur aus einer Liste mit Compliance-Anforderungen, die wir abhaken, sondern hat Auswirkungen auf das gesamte Unternehmen

Unser Sensibilisierungsprogramm basiert auf der Prämisse, dass Sicherheit in der Verantwortung jedes Einzelnen liegt. Welche Verantwortlichkeiten das sind, ist in unserem internen Sicherheitsrichtlinienprogramm festgelegt. Das Schulungs- und Sensibilisierungsprogramm ist das Instrument, mit dem wir die Verantwortlichkeiten unserem Personal vermitteln.

Bewerber und Auftragnehmer müssen eine Vertraulichkeitserklärung unterzeichnen, bevor sie bei oder mit uns arbeiten können. Während des daraufhin folgenden Onboarding-Prozesses nehmen die neuen Mitarbeiter an einer Sicherheitssensibilisierungsmaßnahme teil.

Im Einklang mit unserem Motto der "kontinuierlichen Verbesserung" verbreiten wir regelmäßig Sicherheitshinweise in unternehmensweiten E-Mails und in Blogposts. Diese Hinweise nehmen in der Regel auf aktuelle Geschehnisse oder Erkenntnisse Bezug, z. B. auf eine bislang unbekannte öffentlich gemachte Bedrohung. Die Hinweise sollen das Sicherheitsbewusstsein unserer Mitarbeiter weiter schärfen.

Security Champions

Auch außerhalb des Sicherheitsteams gibt es sicherheitsbewusste Mitarbeiter, deren Begeisterung und Fachkenntnis wir uns zunutze machen

Zusätzlich zum Sensibilisierungsprogramm haben wir ein internes "Security Champions"-Programm aufgelegt. Für uns ist es wichtig, Sicherheitsbewusstsein in jedem Team bei Atlassian zu verankern. Außerdem möchten wir Sicherheitsthemen für alle greifbarer und verständlicher machen. Deshalb haben wir uns entschieden, einige unserer Mitarbeiter, sowohl aus dem operativen Geschäft als auch Entwickler, an essenziellen Sicherheitsthemen zu schulen. Diese Experten tragen ihre Begeisterung für das Thema Sicherheit in die Teams, denen sie für einen bestimmten Zeitraum zugeteilt werden, und sind für das restliche Unternehmen unsere Fürsprecher.

Änderungsmanagement

Beim Änderungsmanagement verfolgen wir einen Open-Source-ähnlichen Ansatz

Herkömmliche Änderungsmanagementprozesse basieren auf einer pyramidenähnlichen Änderungskontrollhierarchie. Wenn jemand eine Änderung vornehmen möchte, muss er diese einem Gremium vorlegen, das über die Umsetzung entscheidet. Wir verfolgen einen anderen Ansatz, den wir "Peer Review, Green Build" getauft haben. Jede Änderung, ob an Code oder der Infrastruktur, muss durch mindestens einen Kollegen auf mögliche Probleme untersucht werden. Je wichtiger die Änderung oder das Produkt ist, desto mehr dieser "Peer Reviews" sind erforderlich. Wir vertrauen darauf, dass unsere Entwicklungsteams und Techniker Sicherheits- und Performanceprobleme erkennen und die Änderung vor der Genehmigung und Implementierung melden. Wir verwenden unser selbst entwickeltes Continuous-Integration-Tool "Bamboo", um festzustellen, ob die Änderungen Probleme in unseren Integrations-, Komponenten-, Funktions- oder Sicherheitstests verursachen, sobald sie in den Main Branch übergehen. Wurden in den Build- und Testphasen keine Probleme identifiziert, signalisiert Bamboo einen grünen Punkt und kennzeichnet den Build-Prozess als erfolgreich. Wenn es Probleme gab, signalisiert Bamboo einen roten Punkt und der Merge wird abermals überprüft, um herauszufinden, welche Änderungen die Probleme verursacht haben. Unser "Peer Review, Green Build"-Prozess ist eine wichtige Stütze, um die Tausenden Änderungen zu identifizieren, die wir jede Woche vornehmen.

Einstellung neuer Mitarbeiter

Wir möchten die besten Talente für uns gewinnen

Wie jedes andere Unternehmen auch sind wir daran interessiert, die besten und klügsten Köpfe einzustellen. Neue Mitarbeiter werden in unseren wöchentlichen Global Town Hall-Meetings begrüßt und dazu motiviert, "die beste Arbeit ihres Lebens abzuliefern" und "alles daran zu setzen, Atlassian noch besser zu machen". Unser Unternehmen soll an den einzigartigen Fähigkeiten unserer Mitarbeiter wachsen und jeden Tag und jede Woche davon profitieren. Unser Recruiting-Prozess umfasst Beschäftigungs-, Visa-, Hintergrund- und Finanzchecks. Jeder neu eingestellte Mitarbeiter durchläuft einen 90-tägigen Onboarding-Prozess und erhält Zugang zu funktionsspezifischen Schulungen. 

Customer Exit Procedure

If a contract between Atlassian and one of our customers using our cloud products ends, customer data will be removed from our cloud environment according to the timelines below.

Scenarios where customer contract can end include:

  • Missed payments: Where an existing customer misses a payment for their product subscription (whether monthly or annually);
  • Subscription cancellation: Where an existing customer cancels their subscription;
  • Evaluation period ends: Where the trial period for a customer evaluating one of our products chooses not to proceed to a paid subscription.

Missed payments

Where a customer misses a payment or the payment cannot be made, they are unsubscribed from all products 15 days after the due date for the payment. Once this occurs, their data is retained in cold backup for 60 days, after which it is deleted. Customers can ensure their data is not deleted by rectifying any missed payments within the 15 days. It is not possible to restore customer data after this timeline even if payment has been made.

Subscription cancellation

If a customer ends their subscription intentionally, customer data is deleted 60 days after current subscription period ends (for paid sites).

For Jira, if a customer unsubscribes from one Jira product (e.g. Jira Software) and retains another (e.g. Jira Service Desk), their Jira data will be retained. This includes situations involving evaluations; if the evaluation period for one Jira product ends, but the customer still has other Jira products on their subscription, their Jira data is retained. However, if they unsubscribe from all Jira products, their Jira data will be deleted immediately.

Similarly, if a customer removes Confluence from their Atlassian product subscription, this will immediately delete their Confluence data and remove Confluence access for all users.

Evaluation period ends

Where a customer’s evaluation period ends, and they choose not to proceed with a paid subscription, their data is deleted after 15 days (for evaluation sites)

Once customer data is deleted in any of the above scenarios, it cannot be recovered.

Data Destruction

Your data will be deleted 15 days (for evaluation sites) or 60 days (for paid subscription sites) after you have been unsubscribed due to missed payment for an Atlassian product subscription or you cancel your subscription.

What happens if I miss a payment or cancel an individual product subscription?

If payment fails for your Atlassian product subscription, you will be unsubscribed from all products 15 days after the payment due date, at which point users will no longer be able to access the product.

Canceling your Atlassian product subscription will prevent any further site renewals from being processed. Your site will remain accessible until 15 days after the end of your current subscription period, at which point your site will be deactivated. 

Data retention

Your site will be deactivated 15 days after the end of your current subscription period. Atlassian retains data for deactivated sites for 15 days (for evaluation sites) or 60 days (for paid subscription sites) after the end of your current subscription period. 

Evaluations for individual products on an annual Atlassian product subscription last for 30 days. If we fail to receive payment, you will be unsubscribed from Jira and Confluence products 17 days after the payment due date, at which point users will lose access to Jira and Confluence.

Confluence data will be deleted 15 days after the product is unsubscribed. If your evaluation for one Jira product (e.g. Jira Service Desk) ends but you still have other Jira products (e.g. Jira Software) on your annual subscription, your Jira data will not be deleted. Jira data will only be deleted if you unsubscribe from all Jira products. 

Your data cannot be recovered after it's deleted. We strongly recommend creating a Confluence site backup or Jira site backup, as noted below.

How should I prepare my data to move to another site?

Sicherheitsprozesse

Wir sind uns bewusst, dass es immer einen Fehlerspielraum gibt. Wir möchten Sicherheitsprobleme frühzeitig aufspüren und erkannte Defizite so schnell wie möglich ausräumen, um den Schaden zu begrenzen.

Management von Sicherheitsvorfällen

Vorfälle sind unausweichlich, aber wenn wir schnell und effizient reagieren, halten wir die Auswirkungen so gering wie möglich

Das Sicherheitsteam bei Atlassian sammelt Protokolle aus verschiedenen Quellen innerhalb der Hosting-Infrastruktur und nutzt eine SIEM-Plattform zur Überwachung und Meldung verdächtiger Aktivitäten. Wie diese Meldungen selektiert, weiter untersucht und eskaliert werden, ist in unseren internen Prozessen geregelt. Unsere Kunden und die Community im Allgemeinen sind dazu angehalten, vermutete Sicherheitsvorfälle dem Atlassian-Support zu melden.  

Sollte es zu einem schwerwiegenden Sicherheitsvorfall kommen, kann Atlassian intern auf Experten zurückgreifen und externe Sicherheitsspezialisten hinzuholen, um die Vorfälle zu untersuchen und bis zur endgültigen Lösung zu verfolgen. Die Datenbank unserer Sicherheitsvorfälle ist gemäß dem VERIS Framework katalogisiert.

Wenn Interesse besteht, kannst du dich gerne über unseren Prozess für das Management von Sicherheitsvorfällen und unsere gemeinsame Verantwortung während eines Sicherheitsvorfalls informieren.

Schwachstellenmanagement

In unserem umfangreichen Schwachstellenmanagement-Programm ist geregelt, dass wir aktiv nach Schwachstellen in unserer Umgebung suchen

Zusätzlich zu unseren produktspezifischen Schwachstellenmanagementverfahren (wie bereits vorgestellt) nutzt unser Sicherheitsteam einen branchenführenden Schwachstellenscanner, um unsere interne und externe Infrastruktur laufend auf Netzwerkschwachstellen zu überprüfen. Weitere Informationen dazu findest du in unseren FAQs zum Vertrauen.

Bei Produkten und Infrastrukturen mit hohem Risiko beauftragen wir durchaus Sicherheitsberatungsunternehmen mit Penetrationstests. Dies kann beispielsweise bei einer für uns eingerichteten neuen Infrastruktur (z. B. unserer Cloud-Umgebung), einem neuen Produkt (z. B. Stride) oder einer grundlegenden Umgestaltung der Architektur (z. B. zur verstärkten Nutzung von Microservices) der Fall sein. 

Wir haben interne Prozesse zur Überprüfung und Bearbeitung gemeldeter Schwachstellen implementiert. Diese beinhalten vordefinierte SLAs für das Patchen von Schwachstellen abhängig vom CVSS-Schweregrad. Mehr dazu findest du in unserer Richtlinie zur Behebung von Sicherheits-Bugs.

Weitere Informationen zu unseren Sicherheitstestverfahren findest du hier: Unser Ansatz für externe Sicherheitstests.

Weitere Informationen zu unserem Schwachstellenmanagement-Programm findest du unter Schwachstellenmanagement von Atlassian.

Bug-Bounty-Programm

Mit unserem Bug-Bounty-Programm stellen wir sicher, dass unsere Systeme laufend getestet werden

Das Herz unseres Sicherheits-Bug-Managements ist unser Bug-Bounty-Programm, das gewährleistet, dass unsere Produkte kontinuierlich auf Sicherheitsschwachstellen getestet werden. In einer wirklich agilen Entwicklungsumgebung mit häufigen Releases sind laufende Tests eine absolute Notwendigkeit. Wir sind der Ansicht, dass es keine effizientere Methode gibt, externe Sicherheitstests durchzuführen, als die große Zahl an unabhängigen Sicherheitsforschern, die sich an unserem Bug-Bounty-Programm beteiligen.

Unser Bug-Bounty-Programm, für das sich über 500 Tester registriert haben, deckt mehr als 25 unserer Produkte und Umgebungen ab – von unseren Server-Produkten über mobile Apps bis hin zu Cloud-Produkten. Details zur Anzahl der gemeldeten Sicherheitslücken, unserer durchschnittlichen Reaktionszeit und der durchschnittlichen Prämienhöhe sind in unserem Bug-Bounty-Programm zu finden.  

Weitere Informationen zu unseren Sicherheitstestverfahren findest du hier: Unser Ansatz für externe Sicherheitstests.

Aktuelle Testberichte herunterladen

Alle Sicherheitslücken, die in den folgenden Berichten identifiziert wurden, werden durch den Bug-Bounty-Intake-Prozess erfasst, in unserem internen Jira-System nachverfolgt und gemäß dem in unserer Richtlinie zur Behebung von Sicherheits-Bugs genannten SLA-Zeitrahmen geschlossen.

 

Compliance

Unser Sicherheitsprogramm orientiert sich an einigen weit verbreiteten Industriestandards. Wir halten diese Zertifizierungen für unerlässlich, da sie unseren Kunden einen unabhängigen Nachweis liefern, dass wir das Thema Sicherheit ernst nehmen. Hier erfährst du mehr über unser Sicherheitsmanagementprogramm.

Aktuell sind wir für die Standards SOC 2, ISO27001, PCI DSS und CSA STAR zertifiziert. Weitere Informationen zu diesen Programmen findest du auf unserer Seite zum Thema Compliance .

Standard

Sponsor

Status

ISO27001

Internationale Organisation für Normung

Atlassian ist für die in unserer Akkreditierungsurkunde genannten Arbeitspraktiken für ISO27001 akkreditiert. Im Einzelnen ist unser Sicherheitsteam derzeit für die Funktionen Sicherheitstechnik, Sicherheitsinformationen und Sicherheitsprojekte zertifiziert. Der Umfang der Akkreditierung wird derzeit auf weitere Funktionen im Unternehmen ausgeweitet.

ISO/IEC 27001 nutzt zudem die in ISO/IEC 27002 beschriebenen umfassenden Sicherheitskontrollen. Grundlage dieser Zertifizierung ist die Entwicklung und Implementierung eines rigorosen Sicherheitsmanagement-Programms, einschließlich der Entwicklung und Implementierung eines Managementsystems für Informationssicherheit (ISMS). Diese weithin anerkannte internationale Sicherheitsnorm erwartet von Unternehmen, die eine Zertifizierung anstreben, u. a. die Umsetzung der folgenden Punkte:

  • Systematische Bewertung unserer IT-Sicherheitsrisiken unter Berücksichtigung der Auswirkungen von Bedrohungen und Schwachstellen
  • Entwurf und Umsetzung einer umfassenden Palette an Informationssicherheitskontrollen zur Bewältigung von Sicherheitsrisiken
  • Einführung eines allumfassenden Audit- und Compliance-Managementprozesses zur Gewährleistung der durchgängigen Erfüllung der Vorgaben unserer Sicherheitskontrollen

Sieh dir unser Atlassian ISO/IEC 27001-Zertifikat an.

ISO27018

Internationale Organisation für Normung

Atlassian weitet derzeit seine Sicherheits- und Datenschutzmaßnahmen innerhalb des Unternehmens aus, um im Rahmen unseres DSGVO-Compliance-Programms die Anforderungen von ISO27018 zu erfüllen.

Die Norm ISO/IEC 27018 ist ein Verhaltenskodex für den Schutz persönlicher Daten in der Cloud. Sie basiert auf dem Informationssicherheitsstandard ISO 27002 und dient als Leitfaden für die Implementierung von ISO 27002-Kontrollen, die für personenbezogene Daten, anhand derer eine Person eindeutig identifiziert werden kann (PII), in der öffentlichen Cloud gelten. Die Norm bietet zusätzliche Kontrollen und Richtlinien für die Schutzanforderungen von personenbezogenen Daten, die von den aktuellen Kontrollen der ISO 27002 nicht berücksichtigt werden.

Sieh dir unser Atlassian ISO/IEC 27018-Zertifikat an.

PCI-DSS

Payment Card Industries

Atlassian ist ein PCI DSS-konformer Händler, was die Abwicklung von Bestellungen unserer Produkte angeht. Die Produkte von Atlassian verarbeiten oder speichern jedoch keine Kreditkartendaten für unsere Kunden.

Wenn du Atlassian-Produkte oder -Services mit deiner Kreditkarte bezahlst, kannst du dir sicher sein, dass wir der Sicherheit dieser Transaktionen gebührende Aufmerksamkeit schenken. Wir sind ein Level-2-Händler und lassen unsere Compliance mit PCI DSS von einem Qualified Security Assessor (QSA) überprüfen. Derzeit erfüllen wir die Anforderungen von PCI DSS v3.2SAQ A.

Lade unsere PCI Attestation of Compliance (AoC) herunter:

CSA CCM/STAR

Cloud Security Alliance

Ein CSA STAR Level 1 Questionnaire für Atlassian kann von der STAR Registry-Website der Cloud Security Alliance heruntergeladen werden.

CSA Security, Trust & Assurance Registry (STAR) ist ein kostenloses öffentliches Verzeichnis, in dem die Sicherheitskontrollen verschiedener Cloud-Angebote dokumentiert werden, sodass Kunden die Sicherheit von Cloud-Anbietern beurteilen können. Atlassian ist bei CSA STAR registriert, ist Corporate Member bei der Cloud Security Alliance (CSA) und hat den Cloud Security Alliance (CSA) Consensus Assessments Initiative Questionnaire (CAIQ) ausgefüllt. Die neueste Version des CAIQ gemäß der CSA Cloud Controls Matrix (CCM) v.3.0.1 beantwortet über 300 Fragen, die ein Cloud-Kunde oder Cloud-Sicherheits-Auditor an einen Cloud-Anbieter haben könnte.

Schau dir unsere Atlassian CIAQ-Einträge in der CSA Star Registry an.

SOC2/SOC3 

Service Organisation Controls

Die durch eine Drittpartei zertifizierten Service Organization Control (SOC)-Berichte von Atlassian legen dar, wie Atlassian wichtige Compliance-Kontrollen und -Ziele erreicht. Diese Berichte sollen dir und deinen Auditoren dabei helfen, die zur Unterstützung der Betriebsabläufe und Compliance bei Atlassian eingerichteten Kontrollen zu verstehen. 

Atlassian verfügt über SOC2-Zertifizierungen für viele seiner Produkte. Lade die SOC2- und SOC3-Zertifikate von Atlassian hier herunter.

Mindestens einmal jährlich lassen wir zudem von einem renommierten Prüfungsunternehmen umfassende Sicherheitsaudits durchführen.

Die Ergebnisse der Audit- und Zertifizierungsprogramme fließen zusammen mit Erkenntnissen aus unseren internen Prozessen, z. B. aus dem Schwachstellenmanagement, in die kontinuierliche Verbesserung unseres Sicherheitsprogramms ein. 

Konformität mit der DSGVO

Wir setzen uns intensiv für den Erfolg unserer Kunden und den Schutz von Kundendaten ein. Wir tun dies einerseits, indem wir Atlassian-Kunden und Benutzern dabei helfen zu verstehen, wie sie die Datenschutz-Grundverordnung (DSGVO), sofern erforderlich, einhalten. Die DSGVO ist die bedeutendste Änderung der europäischen Datenschutzgesetze in den letzten 20 Jahren, die am 25. Mai 2018 in Kraft trat.

Uns ist bewusst, dass unsere Kunden Anforderungen der DSGVO erfüllen müssen, die durch ihre Nutzung von Atlassian-Produkten und -Services direkt beeinflusst werden. Deshalb betreiben wir erheblichen Aufwand, Kunden bei der Erfüllung DSGVO-relevanter Anforderungen und lokaler Gesetze zu unterstützen.

Nachfolgend einige DSGVO-Initiativen bezüglich unserer Cloud-Produkte:

  • Wir haben hohe Investitionen in unsere Sicherheitsinfrastruktur und in Zertifizierungen getätigt (siehe Abschnitt zu Sicherheit und Zertifizierungen).
  • Wir nutzen angemessene Mechanismen für länderübergreifende Datenübertragungen, indem wir unsere Privacy Shield-Zertifizierungen aufrechterhalten und Standardvertragsklauseln im Rahmen unseres aktualisierten Zusatzes zum Datenschutz festlegen.
  • Wir bieten Datenportierungs- und Datenmanagementtools an, u. a.:
  • Wir sorgen dafür, dass Atlassian-Mitarbeiter, die auf personenbezogene Daten von Atlassian-Kunden zugreifen und diese verarbeiten, im Umgang mit Daten und der Aufrechterhaltung der Sicherheit und Vertraulichkeit von Daten geschult sind.
  • Unsere Anbieter, die personenbezogene Daten verarbeiten, müssen dieselben Datenmanagement-, Sicherheits- und Datenschutzpraktiken bzw. Standards einhalten wie wir.
  • Wir haben uns selbst zu Datenfolgenabschätzungen verpflichtet und halten im Bedarfsfall Rücksprache mit zuständigen EU-Aufsichtsbehörden.

Auf der Seite DSGVO-Compliance bei Atlassian erfährst du mehr über unseren DSGVO-Ansatz und den Aufwand, den wir zur Umsetzung der Verordnung betreiben.

Datenschutz

Wir nehmen die Datenschutzbedenken unserer Kunden ernst und können sie gut nachvollziehen, weil wir dieselben Bedenken haben, wenn es um die Nutzung SaaS-basierter Anwendungen geht. Deshalb behandeln wir personenbezogene und andere vertrauliche Daten genauso, wie wir es von unseren eigenen Serviceanbietern erwarten.

Atlassian und seine Tochtergesellschaften halten sich an das EU-U.S. Privacy Shield Framework (EU-US-Datenschutzschild) und die zugehörigen Prinzipien zur Erfassung, Nutzung und Aufbewahrung von aus der Europäischen Union in die USA übertragenen personenbezogenen Daten.

Eine ausführliche Beschreibung unserer Datenschutzpraktiken entnimmst du unserer Datenschutzrichtlinie.

Anfragen von Strafverfolgungsbehörden

Atlassian veröffentlicht einen jährlichen Transparenzbericht, in dem Behördenanfragen bezüglich des Zugriffs auf Benutzerdaten, der Löschung von Inhalten oder der Sperrung von Benutzerkonten festgehalten sind.

Gemeinsame Verantwortung

In der Cloud lässt sich die Sicherheit deiner Daten auf unseren Systemen nur gemeinsam bewerkstelligen. Auf dieses Modell der gemeinsamen Verantwortung gehen wir näher in unserem erst kürzlich veröffentlichten Whitepaper "The Atlassian Cloud Security Team (You’re part of it)" (Das Atlassian Cloud-Sicherheitsteam (du gehörst dazu)) ein.

Im Allgemeinen ist Atlassian dafür verantwortlich, dass die Anwendungen, die Systeme, auf denen diese ausgeführt werden, und die Umgebungen, in denen die Systeme gehostet werden, sicher sind. Wir sorgen dafür, dass diese Systeme und Umgebungen die relevanten Standards einhalten, zum Beispiel PCI DSS und SOC2.

Unsere Kunden wiederum sind für die Informationen in ihren Konten zuständig. Du verwaltest deine Konten, die Benutzer, die darauf Zugriff haben, und die dafür verwendeten Anmeldeinformationen. Du entscheidest auch, welche Apps du als vertrauenswürdig erachtest und installierst. Du bist dafür zuständig sicherzustellen, dass dein Unternehmen seinen Compliance-Pflichten im Rahmen der Verwendung unserer Systeme nachkommt.

Verantwortungsstruktur

Hier einige Dinge, die unsere Kunden bedenken sollten:

Wichtige Entscheidungen

Die Entscheidungen, die du bezüglich der Einrichtung unserer Produkte triffst, haben enormen Einfluss auf die Sicherheitsimplementierung. Wichtige Entscheidungen sind:

  • Alle Produkte – Domänenüberprüfung und zentrales Management. Du kannst eine oder mehrere Domänen überprüfen, um nachzuweisen, dass diese Domänen deinem Unternehmen gehören. Durch die Domänenüberprüfung kann dein Unternehmen die Atlassian-Konten aller Mitarbeiter zentral verwalten und Authentifizierungsrichtlinien (einschließlich Passwortanforderungen und SAML) anwenden. Nachdem deine Domäne bestätigt wurde, erhalten alle Benutzer mit bestehenden Atlassian-Konten in dieser Domäne eine E-Mail mit der Mitteilung, dass ihr Konto ab sofort verwaltet wird. Mitarbeiter aus dieser Domäne, die ein neues Atlassian-Konto anlegen, erhalten automatisch ein verwaltetes Konto.
  • Bitbucket – öffentliche oder private Repositorys. Du entscheidest, ob die Repositorys öffentlich sind (sodass jeder im Internet sie anzeigen kann) oder privat (sodass nur Personen mit entsprechender Berechtigung auf die Repositorys zugreifen können).
  • Trello – öffentliche oder private Teams und Boards. In Trello kannst du die Sichtbarkeit von Boards einstellen und diese unter anderem auch öffentlich machen (mit einigen Einschränkungen, wenn dein Trello-Konto verwaltet wird). Ein öffentliches Board ist frei im Internet zugänglich und wird möglicherweise auch in den Suchergebnissen von Suchmaschinen wie Google angezeigt. Weitere Informationen zu den Sichtbarkeitseinstellungen für Boards in Trello findest du hier. Du kannst auch dein Team öffentlich machen, sodass dein Teamprofil im Internet gefunden werden kann. Weitere Informationen über die Team-Sichtbarkeitseinstellungen von Trello findest du hier.
  • Alle Produkte – Gewähren von Zugriff. Unsere Produkte sollen die Zusammenarbeit erleichtern. Zusammenarbeit funktioniert aber nur mit Zugriff. Trotzdem musst du vorsichtig sein, wenn du anderen Benutzern oder Apps Zugriffsrechte auf deine Daten gewährst. Hast du die Berechtigungen erst einmal erteilt, kannst du nicht verhindern, dass Benutzer sie für zulässige Aktionen nutzen, auch wenn du mit diesen Aktionen vielleicht nicht einverstanden bist.

Benutzerzugriff

Wie es bei SaaS-Lösungen üblich ist, sind unsere Kunden für den angemessenen Zugriff der Benutzer auf ihre Daten verantwortlich. In diesem Kontext ist es besonders wichtig, die Klassifizierung der in das System gelangenden Daten zu verstehen und sicherzustellen, dass die Benutzer mit Zugriff auf das System dazu autorisiert sind, auf diese Daten zuzugreifen.

Wo erforderlich, vereinfacht eine rollenbasierte Authentifizierung die Durchsetzung von Zugriffsbeschränkungen, die möglicherweise nötig sind, um die Anforderungen hinsichtlich der Datenklassifizierung und Datenverarbeitung zu erfüllen.

Benutzer sollten dazu angehalten werden, sorgfältig mit Passwörtern umzugehen, damit Risiken wie erratene Passwörter und die Verwendung geleakter Anmeldedaten durch Angreifer verringert werden.

Ökosystem

Das Atlassian-Ökosystem besteht aus dem Serviceanbieter Atlassian, den Kunden, ihren Benutzern und dem Marketplace. Unsere Kunden haben die vollständige Kontrolle darüber, welche Apps sie installieren. Bei der Installation kann der Installierende (normalerweise ein Benutzeradministrator) die erteilten Berechtigungen der Apps überprüfen. Die Kundenadministratoren müssen bei der Erteilung dieser Berechtigungen mit Bedacht vorgehen. Wurde eine Berechtigung erst einmal erteilt, haben wir nur wenig Einblick darin, wie die Kundendaten von dieser App verwendet werden.

Es wird von Kunden erwartet, dass sie vor einer Installation den Herausgeber der App überprüfen und sich vergewissern, dass die von der App geforderten Berechtigungen angemessen und sinnvoll sind. Nachdem das Add-on installiert wurde, können wir das Ökosystem durch Überwachung der App-Aktivität und die Meldung verdächtiger Aktivitäten schützen.

Möchtest du noch mehr wissen?

Wir haben auf dieser Seite auf einige andere Dokumente und Ressourcen verwiesen, mit denen du dich näher befassen solltest, wenn du mehr über unseren Ansatz für Sicherheit und Vertrauen erfahren möchtest.