Sicherheit bei Cal.com
Zertifiziert nach ISO 27001, SOC 2 Type II, HIPAA, GDPR und CCPA – mit den passenden Nachweisen.
Compliance
Greife auf Compliance-Dokumente, Zertifizierungen und Datenschutzvereinbarungen zu
Wie wir das sicherstellen
Als Unternehmen, das ISO 27001-, SOC 2 Type II-, CCPA-, GDPR- und HIPAA-Zertifizierungen erreicht hat, wissen wir, wie wichtig Informationssicherheit in der heutigen digitalen Welt ist. Die zunehmende Häufigkeit und Raffinesse von Cyberangriffen zeigt, dass Unternehmen Sicherheit priorisieren müssen, um ihre Daten zu schützen und das Vertrauen ihrer Kunden zu sichern. Durch die Umsetzung branchenüblicher Sicherheitsmaßnahmen und Best Practices zeigen wir unser dauerhaftes Engagement für den Schutz sensibler Informationen und die Integrität unseres Betriebs. Wir sind stolz auf die strengen Sicherheitsprotokolle, die wir etabliert haben, und verpflichten uns, höchste Sicherheitsstandards einzuhalten.
Wie wurde das erreicht?
Als Organisation wissen wir, wie wichtig es ist, Sicherheitspraktiken und -standards einzuhalten. Deshalb nutzen wir Automatisierungsplattformen für Sicherheit und Compliance, um sicherzustellen, dass wir kontinuierlich compliant bleiben und die relevanten Sicherheitsprotokolle einhalten.
Wir haben eine zentrale Plattform, die die Bewertung und Überwachung verschiedener Sicherheitskontrollen und -verfahren automatisiert. Durch die Integration mit unseren bestehenden Systemen und Tools geben uns unsere Plattformen einen umfassenden Überblick über unsere Sicherheitslage, erkennen potenzielle Probleme und stellen sicher, dass wir immer auf dem neuesten Stand der aktuellen Sicherheitsprotokolle und Branchenstandards sind. Das gibt uns die Gewissheit, dass wir den Best Practices der Branche folgen und unseren Kunden und Stakeholdern eine sichere Umgebung bieten.
Was passiert, wenn etwas nicht mehr compliant ist?
Wenn etwas nicht mehr compliant wäre, würde unsere Compliance-Automatisierungsplattform das Problem erkennen und uns sofort benachrichtigen. So könnten wir schnell handeln, das Problem beheben und zügig wieder compliant werden. Mit einer solchen Compliance-Automatisierungsplattform behalten wir unsere Compliance-Pflichten im Blick und können proaktiv sicherstellen, dass wir die relevanten Sicherheitspraktiken und -standards einhalten. Das gibt uns die Gewissheit, dass wir unseren Kunden und Stakeholdern eine sichere Umgebung bieten, und hilft uns, unseren Ruf als zuverlässige und vertrauenswürdige Organisation zu wahren.
Verfahren & Kontrollen
Sichere Richtlinien & Verfahren
Schriftliche Richtlinien und Verfahren zur Informationssicherheit stellen sicher, dass das Unternehmen dokumentierte und getestete Kontrollen hat, um Kundendaten zu schützen und wirksam auf Sicherheitsvorfälle zu reagieren.
Schwachstellen- & Penetrationstests
Regelmäßige Schwachstellen- und Penetrationstests helfen dabei, potenzielle Sicherheitslücken zu erkennen und zu beheben, bevor Angreifer sie ausnutzen können. Cal.com lässt unsere Webanwendung jährlich von einem externen Drittanbieter einem Penetrationstest unterziehen, um mögliche Sicherheitslücken zu identifizieren. So können wir diese intern priorisieren und umgehend beheben. Für Cal.com wird ein offizieller Bericht erstellt, der bestätigt, dass die gefundenen Probleme behoben wurden. Außerdem führen wir regelmäßig interne Penetrationstests durch. Wir setzen auch automatisierte Schwachstellenscans in unserem Code und seinen Abhängigkeiten ein.
Datenverschlüsselung
Die Verschlüsselung sensibler Daten hilft sicherzustellen, dass unbefugte Parteien nicht auf die Daten zugreifen oder sie lesen können. Durch die Verschlüsselung unserer Datenbank können Kunden unser Produkt mit gutem Gefühl nutzen, da sie Daten bei der Übertragung und im Ruhezustand schützt.
Multi-Faktor-Authentifizierung
Multi-Faktor-Authentifizierung hilft, unbefugten Zugriff auf die Systeme des Unternehmens zu verhindern, und schützt Kundendaten so vor Diebstahl oder Manipulation.
Sicherer Entwicklungslebenszyklus
Multi-Faktor-Authentifizierung hilft, unbefugten Zugriff auf die Systeme des Unternehmens zu verhindern, und schützt Kundendaten so vor Diebstahl oder Manipulation. Alle Änderungen an unserer Codebasis sind durch Branch Protection geschützt. Das bedeutet: Bevor eine neue Codeänderung in die Produktion übernommen werden kann, muss sie von einem anderen Engineer genehmigt worden sein. Außerdem muss die Codeänderung mehrere automatisierte Tests bestehen, die auf Sicherheitsprobleme prüfen, die durch den Code oder seine Abhängigkeiten eingeführt wurden, sowie End-to-End-Tests und mehr. So können weder interne noch externe Angreifer schädlichen Code in Cal.com einbringen, weil unser Review-Prozess sicher ist.
Monitoring
Die laufende Überwachung von Systemzugriffsprotokollen und Netzwerkverkehr hilft, potenzielle Sicherheitsvorfälle zu erkennen und darauf zu reagieren. Dadurch sinkt die Wahrscheinlichkeit, dass Kundendaten kompromittiert werden.
Mitarbeiterschulung & Awareness
Regelmäßige Schulungen und Awareness-Programme für Mitarbeitende stellen sicher, dass sie Kundendaten sicher handhaben können, und verringern die Wahrscheinlichkeit menschlicher Fehler oder absichtlicher Datenschutzverletzungen. Für alle neuen Mitarbeitenden priorisieren wir, dass diese Schulungen sofort abgeschlossen werden, und für alle bestehenden Mitarbeitenden jährlich.
Zugriffskontrollen & Background-Checks
Zugriffskontrollen und Background-Checks für Mitarbeitende, Drittanbieter und Dienstleister helfen sicherzustellen, dass sie vertrauenswürdig sind und Kundendaten sicher handhaben können. Background-Checks werden bei allen Neueinstellungen durchgeführt, die das Unternehmen vornimmt, damit Cal.com Vertrauen in die Mitarbeitenden aufbauen kann, die wir einstellen. Außerdem ist es für die Einhaltung der Compliance wichtig, nur Zugriff auf Anwendungen zu gewähren, die für bestimmte Aufgaben benötigt werden. Jedes Quartal überprüfen wir den Anwendungszugriff und die Zugriffsstufen aller Mitarbeitenden, um sicherzustellen, dass sie nur Zugriff auf Anwendungen haben, die sie für ihre Rolle benötigen.
Audits und Bewertungen durch Dritte
Regelmäßige Audits und Bewertungen durch Dritte liefern eine unabhängige Bestätigung der Wirksamkeit der Informationssicherheitskontrollen und -verfahren des Unternehmens und geben Kunden die Sicherheit, dass ihre Daten sicher verarbeitet werden.
Intrusion Detection
Cal.com nutzt Intrusion-Detection-Systeme, um unsere Systeme kontinuierlich auf potenzielle Bedrohungen zu überwachen, die jederzeit auftreten können. Wenn wir früh wissen, dass eine Bedrohung kritisch sein könnte, können wir schnell und effizient handeln, um zu verhindern, dass Bedrohungen kurz- oder langfristige Probleme verursachen.
Offenlegung von Schwachstellen
Bei Cal.com hat die Sicherheit unserer Systeme höchste Priorität. Doch egal, wie viel Aufwand wir in Systemsicherheit stecken, es können dennoch Schwachstellen vorhanden sein.
Wenn du eine Schwachstelle entdeckst, möchten wir davon erfahren, damit wir sie so schnell wie möglich beheben können. Wir bitten dich, uns dabei zu helfen, unsere Kunden und unsere Systeme besser zu schützen.
Schwachstellen außerhalb des Scopes:
- Clickjacking.
- Cross-Site Request Forgery (CSRF)
- Angriffe, die MITM oder physischen Zugriff auf das Gerät eines Nutzers erfordern.
- Jede Aktivität, die zu einer Unterbrechung unseres Dienstes führen könnte (DoS).
- Content-Spoofing und Text-Injection-Probleme ohne Angriffsvektor bzw. ohne die Möglichkeit, HTML/CSS zu ändern.
- SPF Email spoofing
- Fehlende DNSSEC-, CAA- oder CSP-Header
- Fehlendes Secure- oder HTTP-only-Flag bei nicht sensiblen Cookies
- Tote Links
- Alles, was mit DNS- oder E-Mail-Sicherheit zu tun hat
- Rate Limiting
- XSS (Cross-Site Scripting)
Hinweis: Cal.com behält sich das Recht vor, jede gemeldete Schwachstelle als außerhalb des Scopes einzustufen.
Was du tun und nicht tun solltest
- Führe keine automatisierten Scanner auf unserer Infrastruktur oder unserem Dashboard aus. Wenn du das tun möchtest, kontaktiere uns und wir richten eine Sandbox für dich ein.
- Nutze die von dir entdeckte Schwachstelle oder das Problem nicht aus, zum Beispiel indem du mehr Daten herunterlädst, als nötig ist, um die Schwachstelle zu demonstrieren, oder indem du Daten anderer Personen löschst oder veränderst,
- Gib das Problem nicht an andere weiter, bis es behoben wurde,
- Verwende keine Angriffe auf physische Sicherheit, Social Engineering, Distributed Denial of Service, Spam oder Anwendungen von Drittanbietern, und
So meldest du eine Schwachstelle
Du kannst Schwachstellen hier melden: https://bugcrowd.com/4f0b96d4-2749-415e-b2d8-6aebde98f211/external/report
Im Scope: Cal.com QA-Umgebung
Nur die unten aufgeführten Ziele sind für Sicherheitstests autorisiert: (bearbeitet)
| Ziel | URL | Typ |
|---|---|---|
| Cal.com QA | https://app.cal.qa/ | Website-Tests |
| Cal.com QA API | https://api.cal.qa/ | API-Tests |
Du darfst bei Bedarf mehrere Testkonten in der QA-Umgebung erstellen und verwenden, solange du nur Konten und Testdaten nutzt, die du kontrollierst.
Nachdem wir deine Meldung erhalten haben, kann es etwas dauern, bis wir uns bei dir melden, während unser Team das Problem triagiert.
Bitte stelle ausreichend Informationen bereit, um das Problem zu reproduzieren, damit wir es so schnell wie möglich beheben können. In der Regel reichen die IP-Adresse oder die URL des betroffenen Systems und eine Beschreibung der Schwachstelle aus, komplexe Schwachstellen können jedoch weitere Erläuterungen erfordern.
- Wenn du die oben genannten Anweisungen befolgt hast, werden wir im Zusammenhang mit der Meldung keine rechtlichen Schritte gegen dich einleiten.
- Wir behandeln deine Meldung streng vertraulich und geben deine personenbezogenen Daten nicht ohne deine Zustimmung an Dritte weiter.
- Wir halten dich über den Fortschritt bei der Behebung des Problems auf dem Laufenden.
- In den öffentlichen Informationen zu dem gemeldeten Problem nennen wir dich als Entdecker des Problems (sofern du nichts anderes wünschst).
- Wir bemühen uns, alle Probleme so schnell wie möglich zu beheben, und möchten nach der Behebung eine aktive Rolle bei der endgültigen Veröffentlichung zum Problem spielen.