Zum Inhalt springen
Über unsDE|EN

Cinnamon Cloud · Für Schweizer Banken und ihre Anbieter

Outsourcing aus der Schweiz, nach den Regeln der FINMA.

Die Cinnamon Cloud betreibt unsere eigenen Lösungen, Cinnamon Core und Cinnamon Reporting, als Service. Und sie steht allen offen, die beim Betrieb für Schweizer Banken die Vorgaben der FINMA erfüllen müssen: Softwareanbietern, Fintechs und spezialisierten Dienstleistern.

  • FINMAwesentliches Outsourcing nach den Vorgaben der FINMA
  • ISO 27001zertifiziert, jährlich erneuert
  • SOC 2Type 2, jährlich erneuert
  • 24/7Security Operations Center
  • CHDaten in der Schweiz
Zertifiziert nach ISO/IEC 27001:2022, Zertifizierungsstelle Insight Assurance

Was die Cloud ausmachtAnfrage stellen

Was sie ist

Outsourcing aus der Schweiz, nach den Regeln der FINMA

Wesentliches Outsourcing nach den Vorgaben der FINMA
Unser Standard für die Auslagerung wesentlicher Funktionen von Schweizer Banken: dasselbe Sicherheitsniveau für jede Bank.
ISO 27001
Informationssicherheit, zertifiziert nach ISO 27001:2022 und jährlich erneuert.
SOC 2 Type 2
Operative Kontrollen, jährlich geprüft, nachvollziehbar für Ihre Prüfer.
Security Operations Center
Überwachung rund um die Uhr, an sieben Tagen die Woche.
Daten in der Schweiz
Gehalten und verarbeitet auf Microsoft Azure in der Region Switzerland North, die Produktion geo-redundant.

Wir betreiben die Cloud selbst, und die Plattform darin entwickelt unsere Muttergesellschaft, die bmpi AG.

Nachweis

Von einer Kantonalbank geprüft und freigegeben

Eine Schweizer Kantonalbank hat die Cinnamon Cloud geprüft und sie freigegeben, sensible Kundendaten nach den Outsourcing-Regeln der FINMA zu halten. Die Cloud ist an das Kernbankensystem der Bank angebunden.

  • Geprüft von einer Schweizer Kantonalbank
  • Freigegeben für sensible Kundendaten
  • Angebunden an das Kernbankensystem der Bank

Die Freigabe durch eine Bank ist die höchste Hürde in diesem Markt. Für Sie heisst das: Sie beginnen nicht bei null, sondern in einer Umgebung, die diese Prüfung bereits bestanden hat.

Im Standard

Sicherheit und Nachweise sind im Paket enthalten

Plattform

  • Microsoft Azure, Region Switzerland North; Produktion geo-redundant
  • Datenresidenz Schweiz, Mandantentrennung, Backup und Archiv
  • Netzwerksicherheit mit WAF, DDoS-Schutz und Private Endpoints
  • Verschlüsselung at rest und in transit, verwaltete Schlüssel

Sicherheitsbetrieb

  • Betrieb rund um die Uhr mit Pikett
  • Security Operations Center mit SIEM; Logs mindestens ein Jahr, unveränderbar
  • Vulnerability- und Patch-Management
  • Identity- und Access-Management mit Zugriffsreviews

Nachweise

  • ISO 27001 und SOC 2 Type 2, jährlich erneuert
  • Jährliche Penetrationstests mit Retest
  • Security Incident Response mit Meldung innert 24 Stunden
  • ISMS und Weisungen laufend gepflegt

Mehr Nachweise, wenn Ihre Bank sie verlangt

Das Sicherheitsniveau ist für jede Bank gleich. Was eine Bank darüber hinaus verlangt, gibt es als Add-on Compliance & Governance: Compliance-Reporting an die Bank, Begleitung von Prüfungen durch FINMA, Prüfgesellschaft und Interne Revision, Mitwirkung in Ihren Gremien und erweitertes Security Monitoring.

Wie sie gebaut ist

Jeder Kunde in seiner eigenen Umgebung

In der Cinnamon Cloud teilen sich Kunden keine Laufzeitumgebung. Jeder Kunde bekommt eine eigene, für Entwicklung, Test und Produktion getrennt, und alles darin ist als Code beschrieben.

Eigene Umgebung pro Kunde

  • Eigener Kubernetes-Cluster (Azure Kubernetes Service), eigener Datenbankserver, eigener Key Vault und eigener Speicher
  • Entwicklung, Test und Produktion getrennt, je in eigener Azure-Subscription und eigenem Netzbereich
  • Datenbanken (PostgreSQL oder MySQL), Key Vault und Speicher nur über das private Netz erreichbar
  • Skaliert automatisch mit der Last; Produktion auf dem AKS-Standard-Tarif mit Verfügbarkeits-SLA von Microsoft

Netz und Zugang

  • Netzverkehr ist gesperrt, bis er ausdrücklich erlaubt ist, auf zwei Ebenen: Subnetz-Firewalls und Netzwerk-Policies im Cluster
  • Web Application Firewall nach OWASP Core Rule Set, die im Fehlerfall sperrt statt durchlässt; nur TLS 1.2 und 1.3
  • Administration nur mit Anmeldung über Microsoft Entra ID und über einen Jump Host; lokale Admin-Konten sind abgeschaltet
  • Privilegierte Rollen über Entra Privileged Identity Management, befristet und nach Aufgaben getrennt

Betrieb als Code

  • Netze, Cluster, Datenbanken und Zertifikate entstehen aus versionierten Pipelines, nicht von Hand
  • Jede Änderung an der Produktion wird vorher als Differenz gezeigt und erst nach Freigabe ausgerollt
  • Fremde Container-Images nur aus unserem eigenen Registry-Mirror, per Digest fixiert, mit Trivy geprüft und mit Stückliste (SBOM)
  • Sicherheitspatches für die Cluster automatisch; Wiederherstellung der Datenbanken auf einen Zeitpunkt als Pipeline

Jede Änderung ist rückverfolgbar: vom Ticket über Spezifikation, Tests und Review bis zum Architekturentscheid.

Anbindung an die Bank

Mit dem Kernbankensystem verbunden, über einen eigenen verschlüsselten Tunnel

Die Systeme der Bank erreichen die Cinnamon Cloud über ein eigenes Site-to-Site-VPN, zonenredundant ausgelegt. Die Bank gibt in ihrer Firewall eine kleine, feste Gruppe von Adressen frei, auch wenn sich Adressbereiche überschneiden. Wo nötig mit dynamischem Routing, und für Systemschnittstellen mit Client-Zertifikaten.

  • IPsec mit IKEv2, AES-256 und Perfect Forward Secrecy
  • Feste Adressen für die Firewall der Bank, per 1:1-NAT
  • Dynamisches Routing (BGP), wo die Bank es braucht
  • Kein Weg aus dem Netz der Bank zu Administration oder Build

Für wen

Gebaut für unseren eigenen Service, offen für andere

Für Cinnamon-Kunden

Cinnamon Core und Cinnamon Reporting als Service, und auf Wunsch die ganze Verarbeitung: Wir betreiben die Plattform, die Läufe und die Schnittstellen.

Für Anbieter, die Banken bedienen

Softwareanbieter, Fintechs und spezialisierte Dienstleister, die ihre Lösung für Schweizer Banken nach den Vorgaben der FINMA betreiben müssen, und dafür nicht selbst ein Rechenzentrum aufbauen wollen.

Die dritte Option

Eine schlanke Alternative zu den grossen Anbietern

Für Hosting nach den Vorgaben der FINMA gibt es zwei grosse, etablierte Anbieter. Kleinere Anbieter fragen nach einer dritten Option. Die Cinnamon Cloud ist diese Option: für agile Anbieter, mit uns am Tisch, dem Team, das Plattform und Betrieb macht.

Was die Cinnamon Cloud nicht ist

Kein Hosting für Kernbankensysteme. Die Cloud betreibt Lösungen, die an ein Kernbankensystem angebunden sind, nicht das Kernbankensystem selbst.

Nächster Schritt

Passt Ihr Betrieb in die Cinnamon Cloud?

In einer halben Stunde klären wir, was Sie betreiben wollen, für welche Banken, und welche Nachweise wir dafür mitbringen.

Freie Zeitfenster im Kalender, ohne Microsoft-Konto.

Öffnet Ihr E-Mail-Programm mit vorbereiteter Anfrage.

Oder rufen Sie uns an:+41 44 454 84 84

Ihr Kontakt

Thomas Tscherrig

Cinnamon · bmpi AG