BEZPIECZEŃSTWO W WORKDAY
Jak chronimy dane użytkowników
Zależy nam na ochronie danych użytkowników i przejrzystej komunikacji. Stosujemy rygorystyczne środki w odniesieniu do naszych pracowników, procesów i technologii w celu ochrony danych, aplikacji i infrastruktury.
Ludzie, którym można zaufać
Bezpieczeństwo jest obowiązkiem każdego w Workday. Zarówno pracownicy, jak i klienci przyczyniają się do realizacji naszych celów w zakresie bezpieczeństwa. Dlatego dążymy do tego, aby wszyscy byli informowani, włączani i wspierani w ustalaniu priorytetów bezpieczeństwa i stosowaniu najlepszych praktyk.
Przywództwo i pracownicy
Przywództwo nadaje priorytet bezpieczeństwu na każdym poziomie naszej organizacji. Wszyscy pracownicy są odpowiedzialni za ochronę danych naszych klientów i przechodzą szkolenia z zakresu bezpieczeństwa, prywatności i zgodności z przepisami. Nasz dedykowany zespół ds. bezpieczeństwa informacji zapewnia ciągłe szkolenia w celu zminimalizowania ryzyka, podczas gdy mistrzowie bezpieczeństwa Workday wspierają najlepsze praktyki.
Klienci
Nasi klienci mają pełną kontrolę nad danymi, które wprowadzają do Workday, a także nad wszystkimi ustawieniami i konfiguracjami. Oferujemy szkolenia, specjalistyczne wsparcie, szczegółową dokumentację, terminową komunikację i społeczność współpracowników, aby pomóc Ci chronić dane i jak najlepiej wykorzystać nasze sprawdzone narzędzia bezpieczeństwa.
Dzięki Workday zredukowaliśmy 262 systemy do kilku nadrzędnych aplikacji – jednocześnie zwiększając bezpieczeństwo, zyskując funkcjonalność i wprowadzając innowacje”
dyrektor ds. IT
Procesy chroniące dane użytkownika
Dla zapewnienia ochrony danych firma Workday opracowała szczegółowe zasady działania, procedury i procesy obowiązujące dla naszych centrów danych, sieci i aplikacji.
Aplikacje Workday są hostowane w najnowocześniejszych centrach danych z w pełni redundantnymi podsystemami i podzielonymi strefami bezpieczeństwa. Centra danych przestrzegają rygorystycznych środków bezpieczeństwa fizycznego i środowiskowego. Obiekty wymagają wielu poziomów uwierzytelniania, aby uzyskać dostęp do krytycznej infrastruktury.
Systemy nadzoru z użyciem kamer znajdują się w krytycznych wewnętrznych i zewnętrznych punktach wejścia, a pracownicy ochrony monitorują centra danych 24 godziny na dobę, 7 dni w tygodniu. Centra danych wdrożyły redundantne zabezpieczenia środowiskowe i zapasowe systemy zarządzania energią, w tym gaszenia pożarów, zarządzania energią, ogrzewania, wentylacji i klimatyzacji skonfigurowane z minimalną redundancją N + 1.
Zabezpieczamy naszą sieć za pomocą sprawdzonych zasad, procedur i procesów, takich jak ochrona obwodowa, narzędzia do zapobiegania zagrożeniom i wykrywania zagrożeń, które monitorują nietypowe wzorce sieciowe w środowisku klienta, a także ruch między poziomami i usługami. Utrzymujemy również globalne Centrum Operacji Bezpieczeństwa działające w trybie 24/7/365.
W ramach wielokrotnie przeprowadzanych przez zewnętrznych ekspertów ocen podatności skanowane są zasoby internetowe, w tym zapory ogniowe, routery i serwery internetowe, pod kątem nieautoryzowanego dostępu. Dodatkowo korzystamy z uwierzytelnionej wewnętrznej oceny podatności sieci i systemów w celu zidentyfikowania potencjalnych słabości i niespójności z ogólnymi zasadami bezpieczeństwa systemu.
Każdy etap procesu tworzenia, testowania i wdrażania aplikacji ma na celu zabezpieczenie naszych produktów. Nasze zespoły ds. produktów i technologii stosują bezpieczny cykl życia oprogramowania (Secure Software Development Life Cycle, SSDLC), a także praktyki odpowiedzialności DevSecOps. Nasz proces rozwoju obejmuje dogłębną ocenę ryzyka związanego z bezpieczeństwem i przegląd funkcji Workday. Statyczne i dynamiczne analizy kodu źródłowego pomagają zintegrować bezpieczeństwo przedsiębiorstwa z cyklem życia oprogramowania. Proces rozwoju jest dodatkowo wspierany przez szkolenia w zakresie bezpieczeństwa aplikacji dla programistów i testy penetracyjne aplikacji.
Przed każdym większym wydaniem produktu wiodąca zewnętrzna firma zajmująca się bezpieczeństwem przeprowadza ocenę luk w zabezpieczeniach naszych aplikacji internetowych i mobilnych na poziomie aplikacji w celu zidentyfikowania potencjalnych zagrożeń. Firma zewnętrzna przeprowadza procedury testowe identyfikujące standardowe i zaawansowane zagrożenia w zabezpieczeniach aplikacji internetowych.
Technologia stworzona z myślą o bezpieczeństwie
Nasza technologia, od architektury po aplikacje, nadaje priorytet bezpieczeństwu danych i ma na celu zaspokojenie potrzeb naszych klientów w zakresie bezpieczeństwa, w tym tych najbardziej unikających ryzyka.
Korzystamy z zaawansowanych technologii szyfrowania, aby chronić nieużywane i przesyłane dane klientów. Workday opiera się na algorytmie Advanced Encryption Standard (AES) z kluczem o rozmiarze 256 bitów do szyfrowania danych nieużywanych.
Protokół Transport Layer Security (TLS) chroni dostęp użytkownika przez Internet, pomagając zabezpieczyć ruch sieciowy przed pasywnym podsłuchem, aktywną manipulacją lub fałszowaniem wiadomości. Integracje oparte na plikach dla produktów Workday dla przedsiębiorstw mogą być szyfrowane za pomocą PGP lub pary kluczy publicznych/prywatnych wygenerowanych przez Workday, przy użyciu certyfikatu wygenerowanego przez klienta. W przypadku integracji usług sieciowych z interfejsem API Workday obsługiwane są również zabezpieczenia WS-Security.
Usługa Workday Key Management Service (KMS) obejmuje pełne zarządzanie cyklem życia kluczy kryptograficznych używanych do szyfrowania i odszyfrowywania nieużywanych danych klientów. Ponadto klienci mają możliwość zaimplementowania funkcji bring-your-own-key, aby zachować pełną kontrolę nad głównymi kluczami szyfrowania.
Firma Workday zapewnia obszerny zestaw raportów dostępnych dla audytorów i administratorów na temat tego, w jaki sposób ich użytkownicy korzystają ze środowisk Workday. Ścieżka audytu, dzienniki aktywności użytkowników i raporty logowania to ulubione narzędzia klientów i audytorów Workday. Workday pozwala monitorować wszystkie transakcje biznesowe i łatwo przeglądać dane historyczne oraz zmiany konfiguracji.
Uwierzytelnianie
Workday posiada procedury uwierzytelniania każdego użytkownika lub systemu uzyskującego dostęp do platformy. Klienci mogą tworzyć tożsamości użytkowników końcowych w Workday lub integrować je z Workday z systemów zewnętrznych, takich jak Active Directory. Dostęp do zabezpieczeń Workday jest oparty na rolach, z obsługą protokołu SAML dla pojedynczego logowania i uwierzytelnianiem certyfikatem X.509 zarówno dla użytkowników, jak i integracji usług internetowych.
Obsługa pojedynczego logowania
Protokół SAML umożliwia płynne, pojedyncze logowanie między wewnętrznym portalem internetowym klienta a Workday. Workday obsługuje również protokół OpenID Connect.
Natywne logowanie do Workday
Nasze natywne logowanie dla produktów Workday dla przedsiębiorstw przechowuje hasło tylko w postaci bezpiecznego skrótu, a nie hasła jako takiego. Nieudane próby logowania i udane działania związane z logowaniem/wylogowaniem są rejestrowane do celów audytu. Nieaktywne sesje użytkowników są automatycznie wygaszane po upływie określonego czasu, który jest konfigurowany przez użytkownika.
Konfigurowalne przez klienta reguły haseł uwzględniają długość, złożoność, termin wygaśnięcia i zapytania w przypadku gdy użytkownik zapomniał hasła.
Konfigurowalne zabezpieczenia
Administrator bezpieczeństwa Workday może kontrolować, do jakich danych użytkownicy mają dostęp i jakie działania mogą wykonywać w środowisku klienta. Narzędzia takie jak role, grupy zabezpieczeń i konfiguracje procesów biznesowych umożliwiają administratorom wdrażanie zasad bezpieczeństwa firmy i aktualizowanie ich w miarę skalowania.
Zdolność adaptacji na wyciągnięcie ręki