Nachweise statt Versprechen.
Sie entscheiden, ob KI-Agenten Ihre Systeme ändern dürfen. Diese Entscheidung sollte auf Nachweisen beruhen, die Sie prüfen können.
Auf dieser Seite erfahren Sie, wie Mondoo Ihre Daten schützt, wie seine Agenten gesteuert werden und welche Dokumente Sie für Ihre Sicherheitsprüfung anfordern können.
Unabhängig geprüft
- SOC 2 Type II
- ISO 27001
- CIS SecureSuite
- GDPR
Unsere Sicherheitskontrollen werden jedes Jahr von unabhängigen Dritten geprüft.
Agenten handeln nur innerhalb der Grenzen, die Sie setzen
In Ihrer Umgebung ändert sich nichts ohne eine Richtlinie, die Sie geschrieben haben. Jede Aktion lässt sich auf diese Richtlinie zurückführen.
Begrenzt
Jeder Agent hat eine festgelegte Aufgabe und einen klaren Wirkungsbereich. Außerhalb davon kann er nicht handeln.
Freigegeben
Sie legen fest, welche Assets, Schweregrade und Wartungsfenster automatisch behoben werden dürfen und wo eine Freigabe durch einen Menschen nötig ist.
Erklärt
Zu jedem Fix gibt es einen Plan, eine Auswirkungsanalyse und einen Rollback, bevor irgendetwas ausgeführt wird.
Verifiziert
Mondoo scannt nach jeder Änderung erneut und bestätigt, dass der Fix wirkt.
Protokolliert
Was gefunden und behoben wurde, wer es freigegeben hat und wann es verifiziert wurde, wird als Audit-Nachweis festgehalten.
Ihre Daten sind verschlüsselt, getrennt und dort, wo Sie es wählen
Verschlüsselt bei Speicherung und Übertragung.
AES-256 bei der Speicherung, TLS 1.3 bei der Übertragung. Jeder Kunde hat eigene Verschlüsselungsschlüssel.
Getrennt nach Kunde.
In gemeinsam genutzten Regionen sind die Daten jedes Kunden logisch getrennt. Single-Tenant-Bereitstellungen erhalten eine eigene Datenbank, und Self-Managed-Bereitstellungen laufen vollständig in Ihrer Umgebung, auf die Mondoo keinerlei Zugriff hat.
Gespeichert in der Region Ihrer Wahl.
Die EU-Region läuft auf Google Cloud in Frankfurt und wird von der Mondoo GmbH in Berlin betrieben. Die US-Region betreibt die Mondoo Inc. Ihre Daten und Backups bleiben in der Region, die Sie wählen.
Täglich gesichert.
Backups werden täglich erstellt und verschlüsselt. Backups der EU-Region liegen in Deutschland.
Zugriff kontrolliert und protokolliert.
Die Teams, die die Plattform betreiben und betreuen, haben nur den Zugriff, den der Betrieb erfordert, rollenbasiert gesteuert und protokolliert.
Nie zum Training von KI-Modellen genutzt.
Für einzelne Analysen, etwa Remediation-Anleitungen, nutzt Mondoo Foundation Models von Drittanbietern. Übermittelt wird nur, was diese Analyse braucht. Die Anbieter sind durch unseren Auftragsverarbeitungsvertrag abgedeckt, und Ihre Daten werden nie zum Training ihrer Modelle verwendet.
So betreiben wir Sicherheit bei Mondoo
Wir halten uns an die Standards, deren Einhaltung wir unseren Kunden nachweisen helfen.
Unabhängige Audits
Jährliche Audits nach SOC 2 Type II und ISO 27001 durch externe Prüfer, dazu ein internes Audit.
Penetrationstests
Die Plattform wird jedes Jahr von einem unabhängigen Dritten einem Penetrationstest unterzogen.
Mitarbeitende
Alle Mitarbeitenden absolvieren ein Security-Awareness-Training, Entwicklerinnen und Entwickler zusätzlich ein Training zur sicheren Softwareentwicklung.
Dienstleister
Jeder Dritte, der Kundendaten verarbeitet, durchläuft eine dokumentierte Risikobewertung.
Kontinuität
Pläne für Business Continuity und Disaster Recovery sind dokumentiert und werden im Rahmen unseres ISMS gepflegt.
Benchmarks
Mondoo ist ein nach CIS SecureSuite zertifizierter Anbieter für Cloud- und Kubernetes-Sicherheit.
Dokumente, die Sie anfordern können
Fordern Sie an, was Ihre Prüfung braucht. Wir senden es Ihnen direkt zu.
| Dokument | Inhalt |
|---|---|
| SOC 2 Type II Bericht | Das Urteil eines unabhängigen Prüfers zu unseren Sicherheitskontrollen über den Prüfzeitraum. |
| ISO 27001 Zertifikat | Die Zertifizierung unseres Informationssicherheits-Managementsystems. |
| Zusammenfassung des Penetrationstests | Umfang und Ergebnis unseres jüngsten Tests durch einen Dritten. |
| Sicherheitsübersicht | Unsere Architektur, Kontrollen und Verfahren in einem Dokument. |
| Ausgefüllte Sicherheitsfragebögen | Standardantworten, die Sie direkt in Ihre Lieferantenbewertung übernehmen können. |
| Auftragsverarbeitungsvertrag (AVV) | Für jedes Bereitstellungsmodell verfügbar. |
| Liste der Unterauftragsverarbeiter | Alle Unterauftragsverarbeiter, einschließlich der Anbieter von KI-Modellen. |
Sicherheitsproblem gefunden?
Wenn Sie glauben, eine Schwachstelle in Mondoo gefunden zu haben, informieren Sie uns bitte vor einer Veröffentlichung. Wir bestätigen Ihre Meldung und halten Sie während der Untersuchung auf dem Laufenden.
Häufige Fragen
Ja. Mondoo wird jedes Jahr von einem unabhängigen Prüfer nach SOC 2 Type II auditiert. Den aktuellen Bericht können Sie über diese Seite anfordern.
Ja. Das Informationssicherheits-Managementsystem von Mondoo ist nach ISO 27001 zertifiziert und wird jedes Jahr extern auditiert.
Nur, wenn Sie es zulassen. Sie legen fest, welche Assets, Schweregrade und Wartungsfenster Agenten eigenständig beheben dürfen und wo eine Freigabe durch einen Menschen nötig ist. Viele Teams beginnen mit Arbeitsplatzrechnern und Nicht-Produktionssystemen und lassen Produktionsserver und Datenbanken freigabepflichtig.
Nein. Mondoo übermittelt Foundation Models von Drittanbietern nur die Daten, die eine bestimmte Analyse braucht. Die Anbieter sind durch unseren Auftragsverarbeitungsvertrag abgedeckt, und Ihre Daten werden nie zum Training ihrer Modelle verwendet.
In der Region Ihrer Wahl: der EU-Region auf Google Cloud in Frankfurt oder der US-Region. Sie können auch eine Single-Tenant-Instanz nutzen, die Mondoo für Sie betreibt, oder Mondoo Self-Managed in Ihrer eigenen Umgebung betreiben.
Bringen Sie Mondoo in Ihre Sicherheitsprüfung
Sagen Sie uns, was Ihre Prüfung braucht. Wir senden Ihnen die Dokumente und beantworten die Fragen Ihres Sicherheitsteams direkt.