F5-Compliance

Alle neu eingestellten Mitarbeitenden und Auftragnehmenden müssen bei ihrer Einstellung und anschließend jährlich an einer Schulung zum Sicherheitsbewusstsein teilnehmen. Je nach Rolle und Verantwortungsbereich müssen die Benutzer außerdem weitere regelmäßige Schulungen (vierteljährlich, jährlich usw.) absolvieren. Beispiele hierfür sind Schulungen zum sicheren Softwareentwicklungszyklus, zum globalen Datenschutz, zur Datenklassifizierung, zum Schwachstellenmanagement, zum unternehmensweiten Bedrohungsmanagement sowie zu Kryptografie und dem sicheren Umgang mit Zugangsdaten.


GILT FÜR: Unternehmen

Produkte der Marke F5 werden gemäß sicheren Softwareentwicklungspraktiken entwickelt, die sich an Branchenstandards wie NIST 800-53 und NIST 800-218 orientieren. Unser Lebenszyklus für sichere Softwareentwicklung umfasst mehrere zentrale Komponenten, darunter unter anderem: Bedrohungsmodellierung, Designprüfungen, Codeprüfungen, Schwachstellenscans, Sicherheitstests und regelmäßige Penetrationstests kritischer Komponenten.


GILT FÜR: Enterprise

Ja. Alle Mitarbeitenden von F5 werden vor ihrer Einstellung gemäß den einschlägigen Gesetzen, Vorschriften und vertraglichen Vereinbarungen überprüft und einer Zuverlässigkeitsprüfung unterzogen. Die Überprüfung umfasst Kriterien, die auf die geschäftlichen Anforderungen, die Vertraulichkeit der jeweiligen Aufgaben und Verantwortlichkeiten sowie die potenziellen Risiken abgestimmt sind, die sich aus negativen Erkenntnissen bei der Zuverlässigkeitsprüfung ergeben und auf ein Risiko von Diebstahl, Betrug oder Missbrauch von Einrichtungen hindeuten können. Bei Positionen mit höherem Risiko oder größerer Außenwirkung, wie etwa der des Chief Financial Officer, waren zusätzliche Prüfungen erforderlich, um die Eignung der betreffenden Person für die Position sicherzustellen (zum Beispiel Bonitätsprüfungen). Bei externen Auftragnehmenden verlässt sich F5 darauf, dass die Personaldienstleister, mit denen F5 entsprechende Verträge abgeschlossen hat, die Zuverlässigkeitsprüfungen durchführen.


GILT FÜR: Enterprise

F5 hat eine Lösung und ein Programm zur Verhinderung von Datenverlust (Data Loss Prevention, DLP) implementiert. Die Leistung der DLP-Lösung wird kontinuierlich überwacht, und es bestehen Prozesse für den Umgang mit Verdachtsfällen von Datenverlust. Die DLP-Konfiguration umfasst Regeln, die die unbefugte Übertragung vertraulicher oder personenbezogener Daten an externe Websites wie Webmail-Dienste, Blogs oder persönliche Speicher-Websites untersagen. Die DLP-Regeln werden regelmäßig überprüft. Sämtliche E-Mails des Unternehmens werden ebenfalls durch die DLP-Lösung überprüft.


GILT FÜR: Unternehmen

Alle Richtlinien zur Informationssicherheit werden jährlich überprüft. Für all diese Richtlinien gelten ergänzende Standards, Verfahren und Betriebspraktiken, die ebenfalls jährlich überprüft werden. Bitte beachten Sie, dass es zahlreiche weitere Richtlinien zur Unterstützung der Geschäftspraktiken von F5 gibt. Nachfolgend sind die am häufigsten angeforderten aufgeführt.

• Richtlinie für mobile Geräte
• Reaktionsplan für Cybervorfälle
• Unternehmensrichtlinie zur akzeptablen Nutzung
• Unternehmensrichtlinie zur Cloud-Sicherheit
• Unternehmensrichtlinie für kryptografische Kontrollen
• Unternehmensrichtlinie zum geografischen Standort
• Unternehmensrichtlinie für Identitäts- und Zugriffsmanagement
• Unternehmensrichtlinie zur Informationssicherheit
• Unternehmensrichtlinie für den nicht routinemäßigen Datenzugriff
• Unternehmensrichtlinie für Patch- und Schwachstellenmanagement
• Unternehmensrichtlinie zur Sicherheit bei Remote-Arbeit
• Unternehmensweite Sanktionsrichtlinie
• Unternehmensrichtlinie für sichere Softwareentwicklung
• Unternehmensrichtlinie zur Datenaufbewahrung
• Unternehmensrichtlinie zur Klassifizierung von Informationen
• Unternehmensweite Netzwerkrichtlinie
• F5-Richtlinie für das Notfallwiederherstellungsprogramm

GILT FÜR: Enterprise

F5 verfügt über ein Incident-Management-Programm, das durch einen jährlich getesteten Incident-Response-Plan unterstützt wird. Informationen zu den geteilten Verantwortlichkeiten im Zusammenhang mit dem Incident Management finden Sie in Ihrer bestehenden vertraglichen Vereinbarung mit F5.

GILT FÜR: Enterprise

F5 unterhält ein Programm für Schwachstellen- und Patchmanagement, das durch Richtlinien und Verfahrensdokumente gestützt wird. Das Cybersicherheitsteam, das organisatorisch von der Entwicklungsabteilung getrennt ist, führt bei Neuentwicklungen oder wesentlichen Änderungen am Produkt routinemäßig Sicherheitsbewertungen durch. Das Produktionsnetzwerk, die unterstützende Produktionsinfrastruktur und die Dienste werden mindestens vierteljährlich auf potenzielle Sicherheitslücken geprüft. F5 setzt verschiedene Tools und Dienste ein, um unsere Netzwerke (intern und extern), Codebasen oder Repositorys, Anwendungen und sonstigen Abhängigkeiten regelmäßig auf Schwachstellen zu überprüfen. Diese Schwachstellen werden anschließend von den jeweils zuständigen Verantwortlichen gemäß dem festgelegten SLA priorisiert und behoben. Das SLA ist in unseren Richtlinien und ergänzenden Dokumenten definiert und richtet sich nach mehreren Faktoren, darunter Branchenrichtlinien und bewährte Verfahren, Kritikalität und Schweregrad sowie unsere Umgebungsfaktoren. Darüber hinaus werden weitere in der Branche verfügbare Quellen und Herstellerveröffentlichungen herangezogen, um neue Schwachstellen zu identifizieren, die uns betreffen könnten. Anschließend werden geeignete Maßnahmen zu deren Priorisierung und Behebung ergriffen.

GILT FÜR: Enterprise

F5 setzt verschiedene Methoden ein, um unbefugte Verbindungen (einschließlich Fernzugriffen) zu internen Systemen und Ressourcen zu verhindern. Für den Fernzugriff auf die Produktionsumgebung und die Produktionssysteme müssen sich Mitarbeitende zunächst über unsere Enterprise-IAM-Lösung authentifizieren. Diese erfordert eine Multi-Faktor-Authentifizierung mit einem selbst gewählten Benutzerpasswort und einem regelmäßig wechselnden Software-Token. Anschließend müssen sich die Benutzer über unsere unternehmensweite VPN-Lösung verbinden, die ebenfalls eine Multi-Faktor-Authentifizierung mit Benutzerpasswort und wechselndem Software-Token erfordert. Nach der Authentifizierung verfügen die Benutzer über festgelegte rollenbasierte Zugriffsberechtigungen und installierte Gerätezertifikate, die unterschiedliche Zugriffe auf Systeme und Ressourcen ermöglichen. Split-Tunneling ist nicht zulässig. F5 steuert den Zugriff durch RBAC, das Prinzip der geringsten Rechte, das Kenntnis-nur-wenn-nötig-Prinzip und die Verwaltung des Benutzerlebenszyklus.

GILT FÜR: Enterprise

Es ist eine mehrstufige Netzwerkarchitektur mit physischer und logischer Trennung von Produktions-, DMZ- und Nicht-Produktionsumgebungen implementiert. Bitte beachten Sie, dass wir die Netzwerkdiagramme des Unternehmens und die vollständige Netzwerksicherheitsrichtlinie nicht extern weitergeben können, da diese als vertraulich gelten.

GILT FÜR: Enterprise

Der Geschäftskontinuitätsplan von F5 basiert auf einer unternehmensweiten Geschäftsauswirkungsanalyse (Business Impact Assessment, BIA). Die BIA identifiziert kritische Geschäftsbereiche und Prozesse, deren Unterbrechung innerhalb von 48 Stunden nach Beginn der Störung erhebliche Auswirkungen auf den gesamten Geschäftsbetrieb, den Ruf und/oder die Rentabilität haben könnte. Die BIA und der Geschäftskontinuitätsplan berücksichtigen die für die Aufrechterhaltung des Betriebs erforderlichen kritischen Ressourcen sowie Strategien, um den Verlust oder die Nichtverfügbarkeit folgender Ressourcen auszugleichen: Einrichtungen/Standorte, Schlüsselpersonal, IT-Anwendungen und externe Dienstleister.

GILT FÜR: Enterprise

Daten umfassen Transaktionsströme, Dateien, Datenspeicher, Tabellen und Ausgaben, die vom Unternehmen verwendet oder verarbeitet werden. Kundendaten werden gemäß den einschlägigen Datenschutzbestimmungen und sonstigen Vorschriften sowie den spezifischen Anforderungen verwaltet, verarbeitet und gespeichert, die in den zwischen F5 und Kunden oder Anbietern geschlossenen Vereinbarungen formell festgelegt sind.

Das Unternehmen hat sichere Methoden und Protokolle für die Übertragung vertraulicher oder sensibler Informationen über öffentliche Netzwerke implementiert. Für Datenspeicher, die sensible Kundendaten enthalten, ist die Verschlüsselung aktiviert.

Alle von F5-Diensten gespeicherten oder verarbeiteten Kundendaten gelten als vertraulich. Die Anforderungen von F5 an die Klassifizierung und Handhabung von Daten sind wie folgt definiert:

• Kritisch (vertraulich)
• Eingeschränkt
• Intern
• Öffentlich

GILT FÜR: Enterprise

Die Überwachung ist von entscheidender Bedeutung, um die Wirksamkeit von Kontrollen zu beurteilen und festzustellen, ob sie wie vorgesehen funktionieren oder neu gestaltet werden sollten, damit sie besser auf die Prozesse abgestimmt sind oder ihre Wirksamkeit verbessert wird. Führungskräfte und Aufsichtspersonal sind im Rahmen ihrer regulären Tätigkeiten dafür verantwortlich, die Qualität und Wirksamkeit der internen Kontrollen zu überwachen. Mitglieder der F5-Produktteams wirken regelmäßig in sicherheits- und risikoorientierten Gruppen mit, um die Auswirkungen neuer Technologien zu beobachten.

GILT FÜR: Enterprise

Das Security Operations Center (SOC) bietet rund um die Uhr spezialisierten Support. Es überwacht Unternehmensdienste proaktiv und verwaltet die Instanzen aktiv, um unmittelbar auf Angriffe zu reagieren.

Die Security Operations Center arbeiten nach dem Follow-the-Sun-Modell und sind während der regulären Arbeitszeiten in jeder Region ausreichend besetzt. Das Security Operations Center ist weltweit an folgenden Standorten tätig: Seattle (USA), Hyderabad (Indien), Warschau (Polen), Guadalajara (Mexiko).

Informationen zu den SOC-Standorten finden Sie unter: https://docs.cloud.f5.com/docs-v2/platform/reference/data-residency-locations

GILT FÜR: F5 Distributed Cloud Managed Services

F5 verfügt über ein robustes Cybersicherheitsprogramm, das durch die Enterprise Information Security Policy (EISP) sowie eine umfassende Reihe weiterer Cybersicherheitsrichtlinien und -standards gestützt wird. Eines der Ziele dieser Richtlinien besteht darin, sicherzustellen, dass F5 über angemessene Sicherheitskontrollen verfügt, um die Daten unserer Kunden vor unbefugtem Zugriff, Verlust und Beschädigung zu schützen. Die Richtlinie ist ein integraler Bestandteil des Information Security Management System (ISMS) von F5. Darüber hinaus steht sie im Einklang mit Branchenstandards und -rahmenwerken sowie den geltenden Gesetzen und Vorschriften, einschließlich des Standards NIST 800-53. F5 wird jährlich einer externen Prüfung unterzogen, bei der die Konzeption und Implementierung der Sicherheitskontrollen sowie deren operative Wirksamkeit bewertet werden.

GILT FÜR: Enterprise

F5 verfügt über ein etabliertes Lieferantenmanagementprogramm. Im Rahmen dieses Prozesses werden externe Dienstleister anhand des Risikos bewertet, das sie für das Unternehmen und seine Daten darstellen. Das Cybersecurity-Team von F5 führt beim Onboarding und anschließend jährlich eine Risikobewertung aller Lieferanten durch, die Zugriff auf Daten oder Systeme von F5 haben. Darüber hinaus wird im Rahmen der Sorgfaltsprüfung eine Sicherheitsbewertung von Drittanbietern (Third Party Security Assessment, TPSA) durchgeführt, um die Sicherheitslage des jeweiligen Drittanbieters zu beurteilen – unabhängig davon, ob es sich um einen Lieferanten, Partner, Kunden, Auftragnehmer, Berater oder Vermittler handelt. Damit soll sichergestellt werden, dass dessen Sicherheitspraktiken die Mindestsicherheitsstandards unseres Unternehmens erfüllen. Alle Lieferanten müssen sich zu einem angemessenen Schutz der Daten von F5 und seiner Kunden verpflichten. Vereinbarungen mit Drittanbietern enthalten Bestimmungen, die den Geschäfts- und Vertraulichkeitsanforderungen von F5 entsprechen. Das Compliance-Team prüft beim Onboarding und anschließend jährlich die Berichte und Zertifizierungen der Lieferanten zur Einhaltung von Sicherheitsvorgaben, um sicherzustellen, dass deren Kontrollen mit den Richtlinien und Standards von F5 übereinstimmen.

GILT FÜR: Enterprise

Bitte beachten Sie, dass die festgelegten RTO- und RPO-Werte nur für unsere SaaS-Dienste gelten (Distrubuted Cloud, AI Guardrails, AI Red Team, NGINX One, Bot Defense).

• Wiederherstellungszeitziele (RTO): 24 Stunden
• Wiederherstellungspunktziele (RPO): Sechs Stunden

GILT FÜR: F5 Distributed Cloud Managed Services

F5 verfügt über ein Governance-Team für KI-/ML-Modelle, das sämtliche Verwendungszwecke aller im Unternehmen eingesetzten oder in Produkte integrierten Modelle überprüft. Für alle Modelle werden Modellfolgenabschätzungen durchgeführt. F5 unterhält eine unternehmensweite Richtlinie für künstliche Intelligenz (KI), die an ISO/IEC 42001:2023 Informationstechnik (Managementsystem für künstliche Intelligenz) ausgerichtet ist und mindestens einmal jährlich überprüft und aktualisiert wird.

GILT FÜR: Unternehmen

Bitte lesen Sie die für das jeweilige Produkt geltende Datenschutzerklärung: https://www.f5.com/company/policies/privacy-notice

GILT FÜR: Enterprise

Von der Sicherstellung der Compliance bis hin zu Serviceleitfäden stellen wir Mitarbeitern, Lieferanten und Partnern verschiedene Referenzdokumente zur Verfügung. Maßgebliche Dokumente zu unseren Produkten, Supportleistungen, zum Datenschutz und zu Verträgen sowie die Richtlinien und Dokumentationen von F5 finden Sie unter https://www.f5.com/company/policies.

GILT FÜR: Enterprise

Ja, der Chief Privacy Officer überwacht die Umsetzung unseres Datenschutz-Compliance-Programms und berichtet an den General Counsel. Der Datenschutzbeauftragte ist ein externer Rechtsanwalt mit Fachkenntnissen im Datenschutz, der vom Unternehmen als Interessenvertreter der betroffenen Personen beauftragt wurde. Er berichtet an den Verwaltungsrat und arbeitet in Abstimmung mit dem Chief Privacy Officer.

GILT FÜR: Enterprise