Sicherheit
Eine Konversationsebene, die Banken,
Vermögensverwalter und ihre Kunden verbindet
Drei zertifizierte Bereitstellungsumgebungen
Wählen Sie die Infrastruktur, die zu Ihren Anforderungen an die Datenhoheit, Ihrem regulatorischen Umfeld und Ihrem Betriebsmodell passt. Alle drei Optionen sind durch Unblus eigene Zertifizierungen und einen Betrieb rund um die Uhr abgedeckt.
Unblu Financial Cloud auf GCP
Multiregionale Bereitstellung in Europa, Nordamerika und APAC. Kunden wählen ihre Failover-Region, um die Anforderungen des Geofencing zu erfüllen. Abgedeckt durch die ISO-27001- und SOC-2-Typ-2-Zertifizierungen von Unblu.
Unblu Swiss Sovereign Cloud
Gehostet von T-Systems Schweiz AG in zwei Schweizer Rechenzentren – Zollikofen und Bern. Konzipiert für Institute, die vollständige Schweizer Datenhoheit benötigen. Ebenfalls abgedeckt durch ISO 27001 und SOC 2 Type 2.
IBM FS Cloud Validated
Speziell entwickelt für regulierte Workloads im Finanzdienstleistungsbereich. Unblu hat die strenge Sicherheitsprüfung von IBM bestanden – mit höchsten Verschlüsselungsstufen, präventiven und kompensierenden Kontrollen sowie proaktiven, automatisierten Sicherheitsmassnahmen.
Konzipiert für einen unterbrechungsfreien Betrieb
99,75 % verbindliches SLA
Die Unblu Financial Cloud bietet für Produktionsumgebungen ein SLA mit einer Verfügbarkeit von 99,75 %. Diese rechtsverbindliche Zusage gibt unseren Kunden vertragliche Sicherheit in Bezug auf die Robustheit und Zuverlässigkeit unserer Cloud-Umgebung. Intern streben wir ein noch höheres Verfügbarkeitsziel von 99,95 % an.
RPO und RTO innerhalb der Region
Innerhalb einer Region bietet die Unblu Financial Cloud auf GCP ein RPO von 0 (kein Datenverlust) und ein RTO von 2 Minuten. Bei einem Vorfall gehen somit keine Daten verloren, und der Betrieb wird rasch wiederhergestellt.
Failover-Region
Bei der Google Cloud Platform sind regionale Ausfälle als Ausfall aller drei Rechenzentren in einer bestimmten Region definiert. In diesem Fall kann der Cluster, auf dem die Unblu-Anwendung läuft, innerhalb von drei Tagen mit einem RPO von 24 Stunden in einer anderen Region wiederhergestellt werden. Die „Backup“-Region kann vom Kunden ausgewählt werden, um die Anforderungen des Geofencing zu erfüllen. Die Unblu Swiss Sovereign Cloud auf Basis von OTC ist ein Managed Service, der von T-Systems Schweiz AG gehostet wird. Alle physischen Dienste werden in den Rechenzentren von T-Systems Schweiz AG in der Schweiz an zwei verschiedenen Standorten betrieben: Zollikofen und Bern.
Multiregionale Verfügbarkeit
Die Unblu Financial Cloud ist standardmässig in Rechenzentren in Europa, Nordamerika und APAC verfügbar. Unser Cloud-Service läuft mit einem 24/7-Support-Modell.
Unabhängig geprüft und verifiziert
Unblu verfügt über Zertifizierungen nach den anerkanntesten Rahmenwerken für Informationssicherheit und Cloud-Compliance im Finanzdienstleistungssektor.
ISO 27001:2022
ISO 27001 ist der internationale Standard für Informationssicherheit, der von Organisationen verlangt, Sicherheitsrisiken zu identifizieren, zu bewerten und durch ein strukturiertes Framework zu mindern. Unblu ist nach ISO 27001 für die Anwendungsbereitstellung und das Provisioning von Cloud-basierten Softwarediensten zertifiziert, um sicherzustellen, dass unsere Cloud-Angebote strenge Anforderungen an die Informationssicherheit erfüllen.
SOC 2 Type 2
Unser SOC 2 Typ 2-Auditbericht liefert detaillierte Nachweise über die angewandten Kontrollkriterien, um Vertrauen in unsere Management- und Betriebsprozesse zu schaffen. Damit können unsere Kunden nachvollziehen, wie wir ihre Daten und die Daten ihrer Kunden schützen. Diese Zertifizierung gilt für unsere Bereitstellungen auf der Google Cloud Platform und der Swiss Open Telekom Cloud und zeigt unser Engagement zum Schutz der Kundendaten und zur Gewährleistung der Betriebstransparenz.
IBM FS Cloud Validated
Unblu hat die strenge Sicherheits- und Compliance-Prüfung von IBM für Workloads im Finanzdienstleistungssektor erfolgreich absolviert. Dies bestätigt die Einhaltung der strengsten Branchenstandards, einschließlich höchster Verschlüsselungsstufen und Kontrollmechanismen für regulierte Umgebungen.
IRQAO Registered
Unblus ISO-27001-Zertifizierung ist bei der IRQAO registriert und öffentlich einsehbar. Damit erhalten Kunden einen transparenten, extern zugänglichen Nachweis unseres Zertifizierungsstatus.
GCP Platform Certifications
Bereitstellungen auf Basis von GCP profitieren vom umfassenden Portfolio an Compliance-Zertifizierungen, über das Google Cloud auf Infrastrukturebene verfügt. Zudem hat Unblu mit Google Cloud ein Financial Services Addendum vereinbart, das regulierte Kunden und deren Aufsichtsbehörden bei der Prüfung der zugrunde liegenden Infrastruktur unterstützt.
GDPR Compliant
Unblu und seine verbundenen Unternehmen verpflichten sich zur Einhaltung der Datenschutzvorschriften der Schweiz und der EU sowie der geltenden Anforderungen in weiteren Rechtsordnungen, in denen Unblu tätig ist – darunter die USA und Kanada.
Infrastruktur- & Cloud-Sicherheit
Ruhende Daten mit AES-256 verschlüsselt
Verschlüsselungsschlüssel mit automatisierter Rotation verwaltet
Keine eigenen Rechenzentren von Unblu – ausschliesslich zertifizierte Hyperscaler
Datenverkehr zwischen Browser und Plattform mit TLS 1.2 oder höher verschlüsselt
Bereitstellung in einer souveränen Schweizer Cloud möglich
Web Application Firewall mit DDoS-Schutz
Mandantentrennung durch Netzwerkrichtlinien und Namespace-Segmentierung
Produktionsumgebung von Entwicklungs- und Testumgebungen getrennt
Gesamte Infrastrukturkonfiguration als versionierter Code hinterlegt
Container-Plattform gehärtet und kontinuierlich gescannt
Nächtliche verschlüsselte Backups, replizierbar zu einem unabhängigen Anbieter
Plattformverfügbarkeit kontinuierlich überwacht, mit automatischer Alarmierung des Bereitschaftsdienstes
Wiederherstellung von Cloud-Backups mindestens vierteljährlich getestet
Von Kunden hochgeladene Dateien auf Malware gescannt
Organisatorische Sicherheit
Hintergrundüberprüfung aller Mitarbeitenden sowie externer Fachkräfte mit privilegiertem Zugriff
Erweiterte Überprüfung von Mitarbeitenden mit Zugriff auf Kundendaten
Ganzjährige Schulungen zur Sicherheitssensibilisierung
Vertraulichkeitspflichten gelten über das Vertragsende hinaus
Strafregisterprüfung bei mittlerer und hoher Risikostufe, mit Sanktionslistenprüfung, wo gesetzlich zulässig
Mitarbeitende mit Zugriff auf kundenidentifizierende Daten müssen direkt bei Unblu angestellt sein
Jährliche erneute Überprüfung der Mitarbeitenden im Cloud-Betrieb
Privilegierter Fernzugriff nur aus der Schweiz und dem EWR zulässig
Zusätzliches Sicherheits-Onboarding für Mitarbeitende im Cloud-Betrieb
Geheimhaltungsvereinbarung (NDA) und Verhaltenskodex von allen Mitarbeitenden bestätigt
Automatisierte Berechtigungsvergabe bei Eintritt, Wechsel und Austritt über das HR-System
Dokumentiertes Disziplinarverfahren bei Richtlinienverstössen
Namentlich benannte Verantwortung für Informationssicherheit auf Geschäftsleitungsebene
Vollständige Festplattenverschlüsselung auf allen Geschäftsgeräten obligatorisch
Clean-Desk- und Clear-Screen-Richtlinie
Physische Sicherheit der Rechenzentren durch zertifizierte Hosting-Partner gewährleistet
Produktsicherheit
Jährliche unabhängige Penetrationstests
Definierte Service-Levels für die Behebung von Schwachstellen
Automatisierte Schwachstellenscans in der Build-Pipeline
Management-Zusammenfassung der Penetrationstests auf Anfrage erhältlich
Sicherer Softwareentwicklungszyklus (SDLC) etabliert
CVE-Monitoring mit einem Triage-Ziel von 24 Stunden
Jede Produktionsänderung per Peer-Review geprüft und genehmigungspflichtig
Vollautomatisiertes Deployment in die Produktion, inklusive Rollback
Zugriff auf den Quellcode eingeschränkt und Änderungen kontrolliert
Sicherheitsanforderungen bereits in der Spezifikationsphase definiert
Produktivdaten von Kunden werden nie für Tests verwendet
Detailliertes Prüfprotokoll aller Konfigurationsänderungen
Kanal für Responsible Disclosure: security@unblu.com
Single Sign-on über OpenID Connect und JWT, mit TOTP-Zwei-Faktor-Authentifizierung
Begrenzung von Anmeldeversuchen und erzwungene Sitzungs-Timeouts
Interne Sicherheitsverfahren
Produktionszugriff nur über gehärtete, zentral verwaltete Geräte mit Zwei-Faktor-Authentifizierung
Zugriff auf Kundendaten nur befristet und genehmigungspflichtig
Kein dauerhafter Schreibzugriff auf Produktionssysteme
Zugriffsrechte auf die Produktion vierteljährlich überprüft
Zero-Trust-Architektur zur Beschränkung des Zugriffs auf Produktionsressourcen
Wechseldatenträger auf Geräten mit Produktionszugriff deaktiviert
Secrets in einem verwalteten Vault gespeichert – nie im Code oder in der Konfiguration
Deaktivierung oder Reduzierung des Sicherheits-Loggings nur mit Genehmigung des Managements
Dokumentierter Incident-Management-Prozess mit Ursachenanalyse bei schwerwiegenden Vorfällen
Betroffene Kunden werden innerhalb von 8 Stunden über schwerwiegende Cloud-Vorfälle informiert, nachdem Unblu davon Kenntnis erlangt hat
Schwellenwerte für schwerwiegende Vorfälle im Voraus definiert
Alle Sicherheitsrichtlinien mindestens jährlich überprüft
Datenanfragen von Behörden werden als Sicherheitsvorfälle behandelt
Business-Continuity-Pläne mit szenariospezifischen Disaster-Recovery-Runbooks
Business Continuity und Disaster Recovery mindestens jährlich getestet
Forensische Bereitschaft mit vorab freigegebenen externen Fachleuten
Interne ISMS-Audits in geplanten Abständen, mit jährlichem Management-Review
Von Lieferanten mit Zugriff auf Kundendaten wird grundsätzlich eine ISO-27001-Zertifizierung und/oder ein SOC-2-Bericht erwartet
Auditrechte standardmässig in Lieferantenverträgen verankert
Lieferanten für Cloud-Datenverarbeitung jährlich neu bewertet
An DORA ausgerichtete Verfahren für Incident- und Schwachstellenmanagement, die EU-Kunden bei der Erfüllung ihrer Pflichten zur operationalen Resilienz unterstützen
Daten & Datenschutz
Unblu handelt ausschliesslich als Auftragsverarbeiter
Ausgerichtet an GDPR und dem Schweizer nDSG
Datenschutzbeauftragte:r ernannt
Konfigurierbare Richtlinien zur Datenaufbewahrung
Gesprächsdaten werden standardmässig ein Jahr aufbewahrt oder gemäss Ihrem Auftragsverarbeitungsvertrag (AVV)
Kundendaten werden nach Vertragsende gelöscht, wie in Ihrem Auftragsverarbeitungsvertrag (AVV) festgelegt
Sichere Löschung, bei Bedarf inklusive kryptografischer Löschung
Keine grenzüberschreitenden Datenübermittlungen ohne Ihre Weisung
Jeder Unterauftragsverarbeiter ist an einen Auftragsverarbeitungsvertrag gebunden
Richtlinie zur Klassifizierung und Handhabung von Informationen in Kraft
ISO-27018-Kontrollen für personenbezogene Daten in Public Clouds umgesetzt
Unblu-Mitarbeitende dürfen keine Kundendaten exportieren
Unblu-Mitarbeitende dürfen Kundendaten nur auf Ihre Anfrage einsehen
Prüfprotokoll erfasst Quell-IP, Akteur sowie den Zustand vor und nach der Änderung
Einträge im Prüfprotokoll werden standardmässig 365 Tage aufbewahrt
KI-Governance
Richtlinie zu KI-Governance und Transparenz veröffentlicht
Namentlich benannte Verantwortung für KI auf Geschäftsleitungsebene
Unblu verwendet keine Kundendaten zum Training von KI-Modellen
Menschliche Aufsicht fest in KI-gestützte Entscheidungen integriert
KI-generierte Inhalte können in der Benutzeroberfläche gekennzeichnet werden
KI-Komponenten durchlaufen denselben sicheren Entwicklungszyklus wie die übrige Plattform
Unblu Spark ist nicht für KI-Anwendungen mit hohem Risiko im Sinne des EU AI Act konzipiert oder vorgesehen
KI ist nicht dafür vorgesehen, wesentliche Entscheidungen ohne menschliche Prüfung zu automatisieren
Modellzugriff über API-Isolierung und Protokollierung gesteuert
Keine Offenlegung von Modellgewichten oder Trainingsdaten
Interne KI-Nutzungsrichtlinie regelt den Einsatz von KI-Tools durch Mitarbeitende
Branchenführende Zertifizierungen, Dokumentation und Audits durch Dritte
Das Unblu Compliance Center bietet einen einfachen Zugang zu Dokumenten, die Sie für die Einhaltung von Vorschriften in Ihrem Unternehmen benötigen.
CSR-Richtlinie
Unblus Ansatz zur gesellschaftlichen Unternehmensverantwortung (CSR) basiert auf der ISO-Norm 26000:2010. Er umfasst unser Engagement für die Menschen, die Umwelt und die Gemeinschaften, in denen wir tätig sind.
Whistleblowing-Richtlinie
Diese Richtlinie soll sicherstellen, dass Unblu-Mitarbeiter ihre Bedenken über Fehlverhalten oder Missstände innerhalb des Unternehmens äußern können, ohne Angst vor Schikane, anschließender Diskriminierung, Benachteiligung oder Entlassung zu haben.
Unblu Verhaltenskodex
In dieser Richtlinie werden die Vorkehrungen von Unblu für den Verhaltenskodex des Unternehmens dargelegt.
Unblu ISMS Handbuch zur Informationssicherheit
Unblu Inc. hat ein Informationssicherheits-Managementsystem (ISMS) entwickelt und implementiert, das es uns ermöglicht, Risiken der Informationssicherheit in Übereinstimmung mit unseren besonderen Bedürfnissen zu bewerten und zu behandeln. Gleichzeitig demonstrieren wir unser Engagement und die Einhaltung von globalen Best Practices.
ISO 27001-Zertifikat
Unser aktuelles ISO-27001:2022-Zertifikat, direkt zum Download verfügbar.
SOC2 Typ 2 Bericht
Der Bericht umfasst die begleitende Beschreibung des Infrastrukturdienstes von Unblu mit dem Titel „Unblu's Description of its Conversation Platform Services“, die auf der Grundlage der anwendbaren Kriterien für Vertrauensdienste gemäß TSP Abschnitt 100, 2017 Trust Services Criteria (AICPA) extern geprüft wurde.
Unblu ISMS Anwendbarkeitserklärung
Die Anwendbarkeitserklärung (Statement of Applicability, SoA) ist das wichtigste Bindeglied zwischen der Risikobewertung und der Risikobehandlung in einem Unternehmen oder in einer Organisation innerhalb eines Unternehmens und daher eine Voraussetzung für die Implementierung eines Informationssicherheitsmanagementsystems (ISMS).
Unblu Cloud-Datenschutzmitteilung
Unblu und seine Tochtergesellschaften verpflichten sich, die Einhaltung der geltenden Datenschutzgesetze und -vorschriften der Schweiz und der Europäischen Union sowie anderer Datenschutzanforderungen in allen Ländern, in denen Unblu tätig ist, einschließlich bestimmter US-Staaten und Kanada, zu gewährleisten.
Unblu Cloud Cookie-Richtlinie
Unblu setzt und verwendet eine Reihe von Cookies. Diese Cookies sind aus technischen Gründen erforderlich, damit die Unblu-Produkte ordnungsgemäß funktionieren. Wir bezeichnen diese als „wesentliche“ oder „unbedingt notwendige“ Cookies.
Whitepaper
Paper zur Unblu Financial Cloud
Fordern Sie die neueste Version unseres Papers zur Unblu Cloud an, das die verschiedenen Funktionen, Sicherheitsmaßnahmen und Zertifizierungen unseres Cloud-Angebots umreißt.
