Gigya’s enterprise class Customer Identity & Access Management platform delivers maximum efficiency and scalability while protecting consumer data with strict security and compliance standards. The four pillars of Gigya’s security and privacy promise are: - Infrastructure: State-of-the-art data centers for optimized performance and scalability. - Data Security: ISO 27001 certification and multiple levels of security protect data with both physical and virtual safeguards. - Compliance: Regional privacy compliance and built in social network terms of service functionality ensure responsible data management. - Privacy Policies: Increased transparency of data practices fosters consumer trust and relationships.

1. Informationssicherheit
und Datenschutz

2. 2
Informationssicherheit und Datenschutz
Einführung
Als einer der führenden SaaS-Dienstleister für Customer Identity & Access Management
für Unternehmen ist Gigya bestrebt ein Höchstmaß an Performance und Sicherheit zu
gewährleisten. Die Gigya Plattform wurde daher für maximale Effizienz und Skalierbarkeit
optimiert. Gleichzeitig sind Ihre Daten durch strenge Sicherheits- und Compliance-Standards
geschützt. Das vorliegende Dokument bietet einen Überblick über Gigyas Standards in den
folgenden vier Kategorien:
• Infrastruktur: Unsere modernen Rechenzentren bieten optimale Performance und Skalierbarkeit.
• Datensicherheit: Mit Zertifizierung nach ISO 27001 und ISO 27018:2014, und
mehreren Sicherheitsstufen sind Ihre Daten sowohl durch physische als auch virtuelle
Schutzmaßnahmen geschützt.
• Compliance: Die Beachtung regionaler Datenschutzrichtlinien und der
Nutzungsbedingungen sozialer Netzwerke gewährleistet verantwortliches
Datenmanagement.
• Datentransparenz: Transparenter Umgang mit Daten sorgt für mehr Vertrauen und fördert
die Beziehungen mit Kunden.
Infrastruktur
Die robuste Infrastruktur von Gigya garantiert beispiellose Performance und Skalierbarkeit in
Verbindung mit kontinuierlicher Datensicherung und beständigem Schutz.
Modernes Hosting und physische Sicherheit
Gigya betreibt mehrere Rechenzentren basierend auf AWS (Amazon Web Services). In Irland
für europäische Unternehmen, die ihre Daten in der EU speichern wollen bzw. müssen sowie in
Sydney, Australien, für den APAC-Markt.
Die DR (Desaster Recovery) Umgebung für den US Standort wird ebenfalls über AWS abgebildet.
AWS Rechenzentren erfüllen höchste Sicherheitsstandards, um hohe Verfügbarkeit und einen
sicheren Betrieb zu gewährleisten.
Weitere Informationen über die AWS-Sicherheit und Infrastruktur finden sich unter:
https://d0.awsstatic.com/whitepapers/aws-security-whitepaper.pdf

3. 3
In den USA wird Gigyas zentrale Server-Farm von Equinix gehostet, einem der weltweit
führenden Betreiber von Rechenzentren. Das Equinix-Rechenzentrum ist SSAE16-zertifiziert
und komplett mit einem generatorgepufferten Energieversorgungssystem und redundanten
HLK-Anlagen (Heizung, Lüftung und Klima) sowie Systemen für Brand-, Hochwasser- und
Erdbebenschutz ausgestattet. So sind Ihre Daten auch im Fall eines Stromausfalls oder einer
Naturkatastrophe sicher. Das Rechenzentrum verfügt außerdem über strenge physische
Sicherheitskontrollen, wie bewaffneten Wachschutz rund um die Uhr, mehrere biometrische
Checkpoints und vollständige Videoüberwachung.
Weitere Informationen über die Sicherheitsmaßnahmen und die Infrastruktur von Equinix
finden sich hier:
http://www.equinix.com/platform-equinix/platform-advantages/ibx-data-centers/
2016 hat Gigya ein weiteres primäres Rechenzentrum auf dem Gebiet der Russischen
Föderation eröffnet. Die Hardware dieser Einrichtung befindet sich komplett im Besitz von
Gigya und wird auch von Gigya betrieben. Unternehmen mit russischen Kunden können
somit die behördlichen Anforderungen an den physischen Speicherort der Daten erfüllen.
Gleichzeitig ist sichergestellt, dass in Russland gespeicherte Attribute von allen anderen
internationalen Daten getrennt bleiben.
Redundanz
Für den seltenen Fall eines Rechenzentrumsausfalls bietet Gigya umfassendes Disaster
Recovery (DR) inklusive Echtzeit-Datenreplikation in einem separaten physischen Standort
und Übertragung von kritischen Daten „on premise“. Auf diese Weise sind auch bei einem
Hardware-Fehler ein kontinuierlicher Service und transparente Wiederherstellung ohne
Datenverlust gewährleistet.
In der EU und AU nutzt Gigya AWS mit zwei unterschiedlichen Verfügbarkeitszonen für alle
angebotenen Dienste. Beide sind aktiv und werden von Kunden genutzt.
Die Rechenzentren in den USA befinden sich an unterschiedlichen geographischen
Standorten. Der DR-Standort (AWS) ist mit Komponenten identischer Funktionalität wie
der Produktionsstandort (Equinix) ausgestattet und wird an jede Änderung der Produktion
angepasst. Um die DR-Funktionalität und Bereitschaft zu verifizieren, führt Gigya stündlich
automatisierte Plausibilitätsprüfungen im DR-Standort durch.
In Russland nutzt Gigya zwei Selectel-Rechenzentren an unterschiedlichen geographischen
Standorten. Beide sind aktiv und werden von Kunden genutzt.
Performance
Die Plattform von Gigya wurde entwickelt, um auf Standard-Hardware horizontal zu
skalieren. Die Server erreichen unter normalen Umständen nie mehr als 20 % Auslastung
und bieten fünffache Kapazitätsreserven, um unvorhergesehene Lastspitzen zu
bewältigen. Unsere Performance ist sowohl durch den regelmäßigen Umgang mit großem
Verkehrsaufkommen bei Live-Events und Events zu aktuellen Ereignisse einiger Kunden als
auch durch die vielen Unternehmen belegt, die unsere Plattform nutzen, um mehr als eine
halbe Milliarde Nutzer-Identitäten zu verwalten.

4. 4
Datensicherheit
Gigya ist ISO 27001 und ISO 27018:2014-zertifiziert und bei IQNet registriert. Gigya wendet
erhebliche Ressourcen auf, um sicherzustellen, dass die Werte, die unsere Kunden uns
anvertrauen, jederzeit durch Best Practices und die konsequente Anwendung unseres
Informationssicherheitsmanagementsystems sowie aktueller Sicherheitspraktiken
entsprechend den neuesten und strengsten Richtlinien und Vorschriften geschützt sind.
Gigya hat im STAR (Security, Trust & Assurance Registry) der CSA (Cloud Security Alliance) einen
sehr detaillierten Selbstbewertungsbericht veröffentlicht. Hier können sich unsere Kunden von
unserer Compliance mit geltenden Sicherheits- und Datenschutzrichtlinien überzeugen.
Sichere Anwendungsentwicklung
Sicherheitsaspekte spielen in jeder Phase der Produktentwicklung eine wichtige Rolle.
Während der Produktspezifikation, technischen Konzeption sowie der Entwicklung und den
Tests werden Sicherheitsmaßnahmen kontinuierlich getestet, optimiert und umgesetzt.
Gigya nutzt bei der Entwicklung die OWASP Top 10 als High-Level-Security-Richtlinie.
Die OWASP-Leitlinien können hier eingesehen werden:
https://www.owasp.org/index.php/Main_Page
Sicherheit am Speicherort
Gigya verschlüsselt standardmäßig alle personenbezogenen und andere sensible Daten
am Speicherort mittels des AES-256-Algorithmus und erzeugt einen Passwort-Hash mit
dem vom NIST (National Institute of Standards and Technology) zugelassenen PBKDF2-
Algorithmus. Darüber hinaus unterzeichnet Gigya für noch mehr Schutz des Datenzugriffs
seine Anfragen digital per HMAC-SHA1 und erwartet von seinen Kunden, die APIs nutzen,
dass diese ihre Anfragen an Gigya-Server ebenfalls mit diesem Algorithmus signieren.
Alternativ bietet Gigya API-Zugriff, der vollständig OAuth 2.0-kompatibel ist.
Der Zugriff auf Informationen über die Administratorenkonsole von Gigya ist durch Zwei-
Faktor-Authentifizierung und eine leistungsfähige Rollen- und Berechtigungsarchitektur
geschützt. So können Site-Administratoren detailliert kontrollieren, was einzelne
Konsolenbenutzer sehen und nutzen können.
Sicherheit bei der Übertragung
Um sensible Daten zu und von seinen Servern zu übertragen, verwendet Gigya einen
sicheren Kanal (TLS). Darüber hinaus sind REST-API-Aufrufe, die kritische Prozesse wie das
Löschen von Benutzern ausführen, nur als Server-zu-Server-signierte Anfragen erlaubt.

5. 5
Compliance
Gigya hält die Vorgaben vertrauenswürdiger Organisationen und sozialer Netzwerke ein, um
ein verantwortliches Datenmanagement zu gewährleisten.
Regionale Datenschutzrichtlinien
Gigya unterstützt internationale Kunden mittels mehrerer Rechenzentren (in US, EU, AU und
Russland) dabei, die regionalen personenbezogenen Speicheranforderungen einzuhalten.
Als global agierendes Unternehmen ist Gigya zudem zur Wahrung der Sicherheit der
personenbezogenen Informationen seiner Kunden (Personally Identifiable Information/
PII) gemäß lokalen und internationalen Datenschutzgesetzen verpflichtet. Gigya beachtet
relevante Datenschutzbestimmungen und bewertet und verfolgt sämtliche Änderungen dieser
Regelungen im Hinblick auf eventuelle Auswirkungen auf seine Plattform oder seine Kunden.
Generell werden keine Kundendaten zwischen den verschiedenen Rechenzentren
ausgetauscht. Daten der europäischen Kunden verlassen damit nicht die EU, es sei
denn unsere Kunden stimmen im Einzelfall (z. Bsp. Support) auf Basis der bestehenden
europäischen Datenschutzrichtlinien zu.
PCI DSS
Gigya sammelt, speichert, verwaltet und/oder überträgt im Auftrag seiner Kunden keinerlei
Kreditkartendaten und unterliegt daher nicht dem PCI DSS (Payment Card Industry Data
Security Standard).
COPPA (Children’s Online Privacy Protection Act)
Die Verantwortung für die Einhaltung des Gesetzes zum Schutz der Privatsphäre von
Kindern im Internet (COPPA) liegt bei den Kunden. Gigya unterstützt sie jedoch bei dieser
Aufgabe und hat hierzu eine Altersbegrenzung für den Site-Zugriff eingerichtet, der
die Speicherung von personenbezogenen Daten für Nutzer unter 13 Jahren über unser
RaaS-Produkt (Registration-as-a-Service) unterbindet. Auch nach dem Laden der JavaScript-
Bibliothek von Gigya müssen sich Kunden keine Gedanken über die COPPA-Compliance
machen. Gigya sammelt keine websiteübergreifenden Benutzerprofile und erfasst nur
Cookies, die für die interne Berichterstattung und Serviceunterstützung erforderlich sind.
Richtlinien sozialer Netzwerke
Gigya unterstützt Kunden bei der Einhaltung der Richtlinien sozialer Netzwerke mit
folgenden Funktionalitäten:
Automatische Kontolöschung: Wenn ein Benutzer die Berechtigung für den Datenzugriff via
Facebook-App wiederruft, werden alle seine nicht-öffentlichen Profilinformationen aus der
Datenbank der Website gelöscht.
Automatische Konten-Updates: Wenn sich ein Benutzer über sein Facebook-Konto anmeldet
und später sein Facebook-Profil aktualisiert, werden auch seine Profilinformationen in der
Datenbank der Website aktualisiert. So sind die Daten immer auf dem neuesten Stand.

6. 6
Sicherheitstests und Audits
• Gigya hat mehrere Methoden und Verfahren implementiert, um seine Lösung regelmäßig
zu testen und so die Sicherheit seiner Angebote zu erhöhen:
• Jährliche interne und externe ISO 27001 und ISO 27018:2014-Audits als Teil der
Zertifizierung
• Einmal im Monat Durchführung von automatisierten Scans auf Sicherheitsrisiken durch
einen PCI-zertifiziertenW Anbieter.
• Einmal im Jahr Beauftragung von Third-Party-Sicherheitsexperten mit der Durchführung
umfangreicher Black-Box-Penetrationstests auf der Gigya-Infrastruktur
• Ein durchgängig laufendes, internationales „Bug-Bounty“-Programm ermöglicht und fördert den
Test und die verantwortungsvolle Bekanntmachung potenzieller Schwachstellen der Plattform.
• Gigya verwendet eine aktuelle Software zur automatisierten statischen Code-Analyse, um
seine Code-Basis auf Schwachstellen und Sicherheitslücken zu überprüfen.
Penetrationstests
Ein besonderer Schwerpunkt liegt natürlich auf umfangreichen Penetrationstests auf
Anwendungsebene. Diese werden einmal pro Jahr von externen Sicherheitsexperten als
White-Box-Penetrationstests der Gigya-Plattform auf der Grundlage der allgemein anerkannten
OWASP-Methodik durchgeführt.
Die Tests von Sicherheitselementen (potenzielle und tatsächliche Sicherheitslücken), die
verschiedene Angriffe durch externe Angreifer oder böswillige Systembenutzer ermöglichen
könnten, umfassen mindestens:
• Unberechtigter Zugriff auf sensible Informationen
• Nicht autorisierte Änderung von Informationen
• Nicht autorisierte Löschung von Informationen
• Nicht autorisierter Umgang mit Audit-Informationen
• Durchführung nicht autorisierter Vorgänge und Transaktionen
• Illegale Identitätswechsel von verschiedenen Benutzern oder Organisationen
• Durchführen von nicht autorisierten Operationen, die einen Denial-of-Service (DoS) hervorrufen
• Nutzung der bestehenden Sicherheitskontrollen für betrügerische Aktivitäten
Gigya begrüßt es, wenn Kunden eigene Penetrationstests nach vorheriger Abstimmung und
Scoping mit uns durchzuführen. Zielsetzung ist, jedes gefundene und angezeigte
Sicherheitsrisiko in der vereinbarten Zeit zu beheben.

7. 7
Datentransparenz
Gigya arbeitet nach strengen Datenschutzprinzipien und hat sich zum Ziel gesetzt, Vertrauen
zwischen unseren Kunden und deren Endkunden gemäß den lokalen Datenschutzrichtlinien
aufzubauen. Verschiedene Tools sollen dazu beitragen, die Datenerfassung transparenter zu
machen und die Nutzer darüber zu informieren, wie ihre Daten verwendet werden.
Berechtigungsbasiertes Social Login
Anwender, die sich auf einer Site anhand eines ihrer vorhandenen sozialen Profile anmelden,
werden um die Erlaubnis gebeten, auf bestimmte Daten zugreifen zu können, wie Geburtstag
oder Standort. Damit haben sie die volle Kontrolle über die Informationen, die sie teilen.
Datensouveränität für Benutzer
Sites, die RaaS (Registration as a Service)-Formulare von Gigya für die Benutzerregistrierung
und das Login nutzen, können ihren Endkunden einfach Funktionalitäten zur Verfügung stellen,
um ihnen zu ermöglichen, 1) die auf der Website gespeicherten Daten herunterzuladen und zu
bearbeiten oder bei Bedarf zu löschen, und 2) auf Wunsch ihr Website-Konto zu löschen.
Anpassbare UIs
Alle „Self-service“ Formulare sind komplett anpassbar. So können Kunden
Datenschutzhinweise, die Allgemeinen Geschäftsbedingungen, Marketing-Optionen,
Präferenzfelder und andere Hinweise in die Benutzeroberfläche integrieren.
Administrator-Rollen und Berechtigungen
Gigya bietet robuste Rollen- und Berechtigungs-Funktionen, mit deren Hilfe Administratoren
steuern können, auf welche Funktionen und Daten die interne Benutzer zugreifen können.
So können sie Benutzergruppen anlegen und den Zugriff auf sehr detaillierter Ebene
zuweisen, zum Beispiel nach Website-/App-ID, spezifischem Dienst und sogar API, um
sicherzustellen, dass personenbezogene Daten der Endbenutzer geschützt sind.
Zusätzliche Sicherheitsverfahren und -kontrollen
Interne Zugangskontrolle
Gigya hat Mechanismen für die Zugangskontrolle und Autorisierung implementiert, die auf
allen Ebenen der Informationssysteme (Anwendungsquellcode, Betriebssystem, Datenbank
und Netzwerk-Ebene) durchgesetzt werden. Mitarbeiter von Gigya erhalten anhand ihrer
Aufgaben entsprechende Berechtigungen gemäß dem „Least-Privilege“-Prinzip.
Verfahren für die Systemsicherheit
Die Verfahren von Gigya für die Systemsicherheit umfassen: Härten des Betriebssystem
für Server und Workstations, Patch-Management, Auditing und Ereignisprotokollierung
sowie Malware-Schutz. Außerdem kommt ein Provisionierungs-System zum Einsatz, das
automatisch die sichere Konfiguration und wichtige Systemeinstellungen und Dienste
erzwingt. Alle Verwaltungsvorgänge werden über VPNs ausgeführt, die Zwei-Faktor-
Authentifizierung für Administratoren verwenden.

8. 8
Verfahren für die Netzwerksicherheit
Verfahren von Gigya für die Netzwerksicherheit umfassen: nur Öffnen der absolut
notwendigen Ports, getrennte Netze (Produktions-, Entwicklungs-, Testumgebungen) sowie
sichere Out-of-Band-Schnittstellen für die Verwaltung von Netzwerk-Geräten und Härten
von Netzwerk-Geräten.
DDoS-Abwehr (Distributed Denial of Service)
Gigya verwendet in seinem U.S. Rechenzentrum eine moderne „on premise“ Anti-
DDoS-Lösung in Verbindung mit einer Cloud-basierten DDoS-Abwehrlösung für den
unwahrscheinlichen Fall, dass ein extremes Traffic-Aufkommen zu bewältigen ist. Bei seinen
AWS-Rechenzentren verlässt sich Gigya auf die Skalierungsfähigkeit von Amazon, um einen
plötzlichen Traffic-Anstieg zu bewältigen.
Änderungsmanagement
Gigya verfügt über einen gut dokumentierten und organisierten Genehmigungs- und
Implementierungsprozess für das Änderungsmanagement, der entscheidend ist für eine
effiziente und sichere Servicebereitstellung.
Schwachstellenmanagement
Da quasi täglich neue Sicherheitslücken entdeckt werden, hat Gigya einen
Informationserfassungsprozess eingeführt. Darin enthalten sind die ständige Überwachung
relevanter Sicherheitsmitteilungen der Lieferanten, Foren und Communities sowie
Sicherheitswarnungen (z.B. US-CERT, BugTraq), die von führenden Unternehmen der
Branche für neu erkannte Schwachstellen herausgegeben werden.
Überwachung
Gigya bietet sowohl automatische als auch manuelle Überwachung 24x7x365. Das
NOC-Team (Network Operations Center) des Unternehmens überwacht jeden Aspekt seiner
Services bis hin zur einzelnen API-Ebene auf jedem Provider.
Manuelle Routinetests zu zentralen Aspekten der Gigya-Services erfolgen alle 15 Minuten.
Das Unternehmen gibt vordefinierte Schwellenwerte und Ereignisse vor und passt die
Kapazität entsprechend an. Dies ist auch dann relevant, wenn ein Kunde Gigya im Vorfeld
bestimmter kommender Ereignisse informiert, dass er für einen bestimmten Zeitpunkt mehr
Ressourcen benötigt.
Backup und Recovery
Gigya nutzt eine Multi-Layer-Architektur zum Schutz gegen Datenverlust mit besonderem
Schwerpunkt auf kurzer Wiederherstellungszeit (MTTR Mean Time to Recovery) im Notfall. Alle
Daten werden in Echtzeit auf Standby-Server in einem sekundären Datenzentrum repliziert,
die mindestens n+1-Redundanz in zwei geographischen Regionen bieten. Kritische Daten
werden auch „on premise“ repliziert, um n+2-Redundanz zu gewährleisten und im Fall eines
Hardware-Fehlers ohne Datenverlust eine unmittelbare und transparente Wiederherstellung
zu ermöglichen. Zusätzlich zu diesen Maßnahmen werden regelmäßig Disk-Snapshots und
Offline-Backups durchgeführt. Zweimal pro Jahr finden umfangreiche Restore-Tests statt.

9. 9
Business-Continuity-/Disaster-Recovery-Plan
Gigya verfügt über einen Geschäftskontinuitätsplan (Business-Continuity-Plan, BCP) mit
einer Wiederherstellungsdauer (Recovery Time Objective, RTO) von 15 Minuten und einem
Wiederherstellungszeitpunkt (Recovery Point Objective, RPO) von wenigen Sekunden,
da die Daten in Echtzeit auf Standby-Systeme repliziert werden. Zweimal pro Jahr werden
umfangreiche Recovery-Tests durchgeführt.
Störfallmanagement
Jeder Störfall muss selbstredend je nach seiner Art, Quelle und möglichen Auswirkungen
unterschiedlich bearbeitet werden. Allgemein umfasst die Reaktion auf einen Störfall stets
die folgenden Schritte:
• Sofortige Reaktion
• Informationsbeschaffung
• Ursachenanalyse
• Kategorisierung
• Erstellen eines Reaktions-Plans
• Aktion (Umsetzungsschritte)
• Fazit und Erkenntnisse
• Durchführung von Korrektur- und Vorbeugungsmaßnahmen

10. Über Gigya
Mit der Plattform für Customer Identity Management von Gigya können
Unternehmen bessere Kundenbeziehungen aufbauen, indem sie
unbekannte Besucher in bekannte, treue und engagierte Kunden
verwandeln. Die Technologie von Gigya hilft Unternehmen, die Zahl
der Registrierungen zu erhöhen und Kunden über verschiedene Geräte
hinweg zu identifizieren, die Daten zu umfassenden Kundenprofilen
zusammenzuführen und durch die Integration der Daten in Marketing-
und Service-Anwendungen bessere Services, Produkte und User
Experiences bereitzustellen.
Die Plattform von Gigya wurde von Grund auf für soziale Identitäten,
mobile Geräte, Datenschutz und modernes Marketing entwickelt. Gigya
stellt Entwicklern die erforderlichen APIs zur Verfügung, um einfach
sichere und skalierbare Funktionen für die Anmeldung, Authentifizierung,
Profilverwaltung, Datenanalyse und Drittanbieter-Integration aufzubauen
und zu pflegen.
Mehr als 700 der weltweit führenden Marken wie Fox, Forbes und
ASOS vertrauen auf Gigya, um identitätsbasierte Kundenbeziehungen
aufzubauen und skalierbares, sicheres Customer Identity Management
zu verwirklichen.
Weitere Informationen
Wenn Sie mehr darüber erfahren möchten, wie Gigya Ihnen bei der
Verwaltung Ihrer Kundenidentitäten helfen kann, besuchen Sie Gigya auf
gigya.com oder nehmen Sie noch heute unter +49 40 37644-919
mit uns Kontakt auf.
© 2016 Gigya, Inc. | Stadthausbrücke 1-3, 20355 Hamburg, Germany | T : +49 40 376 44 919 | www.gigya.com
Gigya, das Gigya-Logo und die Plattform für Customer Identity Management sind entweder eingetragene Marken oder Marken von Gigya Incorporated in den Vereinigten Staaten und/od er anderen
Ländern. Alle anderen Marken sind im Besitzt ihrer jeweiligen Eigentümer. Gigya besitzt keine Endbenutzerdaten oder hält sonstige Rechte an diesen Daten, außer bei deren Nutzung, um die
Dienstleistungen von Gigya für seine Kunden und deren Endkunden zur Verfügung zu stellen. Gigya agiert als Agent oder Back-End-Anbieter der Website oder mobilen Anwendung des Kunden, für
die der Anwender des Kunden seine Berechtigung erteilt hat (falls zutreffend). Gigya vereinfacht die Erfassung, Übertragung und Speicherung von Anwender-Daten ausschließlich im Namen seiner
Kunden und auf Anweisung seiner Kunden. Für weitere Informationen lesen Sie bitte die Datenschutzrichtlinie von Gigya, die unter http://www.gigya.com/privacy-policy/ policy/ zur Verfügung steht.
Gigya_WP_Information_Security_and_Data_Privacy_Practices_092016GER
The Leader in Customer
Identity Management