Finite Field
30-Sek.-Diagnose

Sicherheit und Datenumgang

Anvertraute Daten verarbeiten
ohne Unklarheiten.

Wir definieren, welche Daten zu welchem Zweck, durch wen, in welcher Umgebung und wie lange verarbeitet werden. Vom mathematischen Prototyp bis zum Produktivbetrieb werden Grenzen und Verantwortlichkeiten zuerst vereinbart und als prüfbare Nachweise festgehalten.

Projektprofil entwerfen Datenweg ansehen
DATENKONTROLLFLÄCHEPROJEKT / 001
01KundeQuelldaten und Geschäftsregeln
Erforderliches Minimum
02FINITE FIELDEntwurf, Entwicklung, Verifizierung
Vereinbarter Umfang
03Genutzte DiensteCloud und externe Integrationen
ZweckVorab definiert
ZugriffAuf notwendige Personen begrenzt
SpeicherungStandort und Dauer vereinbart
LöschungMethode und Nachweis festgelegt
ENTWURF VOR ÜBERMITTLUNGEmpfang erst nach Festlegung der Grenzen
WEITER

Unsere Haltung

Wir veröffentlichen Entscheidungsmaterial, keine vage Beruhigung.

Sicherheit wird nicht durch einen Produktnamen oder eine einzelne Funktion bestimmt. Wir entwerfen anhand von Datentyp, Zweck, Organisation, Betrieb und Unterauftragsverarbeitern und halten den umgesetzten Umfang überprüfbar.

01 / Minimieren

Nur notwendige Daten empfangen

Wir prüfen zuerst, ob Namen, Adressen, Kontaktdaten, Freitext und vollständige Datensätze entfernt werden können. Vor Massendaten werden kleine anonymisierte Beispiele bevorzugt.

02 / Grenze

Grenzen vor der Übermittlung definieren

Speicherort, Einsichtnehmende, externe Dienste, KI-Nutzung, Aufbewahrung und Löschung werden vor Datenempfang oder Produktivübergang vereinbart.

03 / Nachweis

Prüfbare Artefakte hinterlassen

Datenflüsse, Zugriffsrechte, Unterauftragsverarbeiter, Backup, Löschung und Vorfallkontakte werden als überprüfbare Artefakte festgehalten.

Was wir veröffentlichenRichtlinie, Entwurfspunkte und überprüfbare Artefakte
Was jedes Projekt entscheidetKonkrete Dienste, Berechtigungen, Aufbewahrung und Testumfang
Was wir nicht veröffentlichenGeheime Werte oder detaillierte Einstellungen, die Angreifern helfen könnten

Datenweg

Jede Phase vom Empfang bis zur Löschung entscheiden.

Dieselben Daten erfordern für Diagnose, Prototypen und Produktivbetrieb unterschiedliche Kontrollen. Wir trennen, was empfangen wird, was entschieden werden muss und welche Nachweise bleiben.

ERSTAUFNAHME

Mit Erklärungsmaterial und anonymisierten Beispielen beginnen.

Geringen Verarbeitungsumfang bevorzugen

Erhaltene Beispiele

  • Spalten der aktuellen Tabelle
  • Einige fiktive oder anonymisierte Zeilen
  • Geschäftsregeln und Schmerzpunkte
  • Zu verbessernde Kennzahlen

Vorab entscheiden

  • Ob echte Namen erforderlich sind
  • Wie Anhänge gesendet werden
  • Wer die Beratung bearbeitet
  • Aufbewahrung nach der Beratung

Aufbewahrte Artefakte

  • Liste empfangener Daten
  • Zwecknotiz
  • Zieldatum für Löschung
  • Offene Fragen

Wichtig: Dies sind Standardperspektiven für den Entwurf. Tatsächliche Aufbewahrung, Löschumfang und Tests werden durch Vertrag und Systemarchitektur finalisiert.

Datenlebenszyklus-Register herunterladen

Sicherheitsprofil-Ersteller

Erstellen Sie in etwa zwei Minuten einen projektspezifischen Entwurfsstand.

Dies ist eine Entwurfshilfe für das erste Gespräch, kein Audit und keine Garantie. Kontaktdaten sind nicht erforderlich.

Schritt 01 / Datenklasse

Daten auswählen, die verarbeitet werden könnten

Der Entwurf richtet sich nach der Kategorie, die am sorgfältigsten behandelt werden muss. Mehrfachauswahl ist möglich.

Kontrollmodell

Nicht nur Prävention abdecken, sondern auch Erkennung, Reaktion und Wiederherstellung.

Wir verwenden die sechs Funktionen des NIST Cybersecurity Framework 2.0 als Prüfperspektiven für Projekte. Das ist keine Zertifizierung und keine Aussage vollständiger Compliance.

GV

Steuern

Klären Sie Verantwortliche, Richtlinien, Verträge, Unterauftragsverarbeiter und akzeptable Risiken.

Beispiel: Verantwortungstabelle, Diensteliste
ID

Identifizieren

Verstehen Sie Assets, Daten, Abhängigkeiten, Bedrohungen und Auswirkungen.

Beispiel: Datenfluss, Asset-Register
PR

Schützen

Entwerfen Sie Authentifizierung, Minimalberechtigungen, Verschlüsselung, geheime Werte und sichere Implementierung.

Beispiel: Berechtigungsmatrix, Implementierungsprüfung
DE

Erkennen

Definieren Sie erforderliche Protokolle, Monitoring, Alarme und Kriterien für Auffälligkeiten.

Beispiel: Monitoring-Punkte, Protokollaufbewahrung
RS

Reagieren

Bereiten Sie Triage, Eindämmung, Untersuchung, Kommunikation und Prävention vor.

Beispiel: Kontaktbaum, Erstreaktionsverfahren
RC

Wiederherstellen

Entwerfen Sie Backup-Integrität, Wiederherstellungsreihenfolge, Wiederaufnahme des Geschäfts und Nachprüfung.

Beispiel: Wiederherstellungs-Runbook, Testprotokoll

Anwendungssicherheit

Web und Apps vom Entwurf bis zum Betrieb prüfen.

Wir verwenden OWASP ASVS 5.0 als Referenz für Sicherheitsanforderungen und Prüfpunkte. Codeprüfung, automatische Prüfungen, manuelle Prüfungen und externe Tests werden je nach Wichtigkeit und Budget kombiniert.

  1. 01Anforderungen und BedrohungenDaten, Berechtigungen und Angriffsfläche strukturieren
  2. 02ImplementierungAuthentifizierung, Eingaben, geheime Werte, Abhängigkeiten
  3. 03VerifizierungPrüfung, Tests, Konfigurationsprüfung
  4. 04BetriebMonitoring, Updates, Berechtigungen, Wiederherstellung

Prototyp vs. Produktivbetrieb

Wir behandeln Prototypen und Produktivbetrieb nicht gleich.

Dieser Vergleich zeigt je Projekt zu finalisierende Entwurfskriterien, keine festen Garantien.

PrüfpunktP0 mathematischer PrototypP1 Produktivsystem
ZweckMachbarkeit und Kennzahlen validierenKontinuierliche Geschäftsverarbeitung
DatenumfangKleine, anonymisierte, notwendige Felder bevorzugenErforderlichen Betriebsumfang formal definieren
UmgebungKurzfristige Validierungsumgebung trennenTrennung von Entwicklung, Test und Produktion berücksichtigen
ZugriffAuf zugewiesene Personen begrenzenRollenberechtigungen, Authentifizierung, Prüfungen
Externe KIMit einem Entwurf beginnen, der keine unnötigen Daten sendetZweck, Ziel, Vertrag, Einstellungen und Protokolle vereinbaren
AufbewahrungEnddatum zuerst festlegenZweck, Gesetz, Betrieb und Backups berücksichtigen
LöschungLöschung oder weitere Nutzung nach Lieferung bestätigenKontenaustritt, Vertragsende, gesetzliche Aufbewahrung und Backups entwerfen
WiederherstellungBewerten, ob es neu erstellt werden kannWiederherstellungsziele und Backup-Tests festlegen

Geteilte Verantwortung

Vor dem Vertrag trennen, wer was schützt.

Cloud-Nutzung macht nicht automatisch alles sicher, und ein Entwickler kann nicht jedes Risiko allein steuern. Wir trennen die Rollen von Kunde, Finite Field und genutzten Diensten.

UNSER BEREICH

Entwurf, Implementierung und Entwicklungsbetrieb

Innerhalb des vertraglich vereinbarten Umfangs übernehmen wir Systemkontrollen und den Umgang mit Daten während der Entwicklung.

  • Datenfluss- und Berechtigungsentwurf
  • Sichere Anwendungsimplementierung
  • Geheime Werte und Verwaltung der Entwicklungsumgebung
  • Vereinbarte Tests und Prüfungen
  • Monitoring, Updates und Reaktion innerhalb des Wartungsumfangs
Im Vertrag ausdrücklich zu regelnde PunkteBetreiberMonitoringzeitenBackupWiederherstellungsarbeitAnfragenUmgang nach Nutzungsende

KI und Dritte

Machen Sie externe KI nicht zu einem unsichtbaren Unterauftragsverarbeiter.

Wenn Daten an generative KI, Karten, E-Mail, Analyse, Benachrichtigungen, Zahlung oder andere Dienste gehen, werden Zweck und Umfang in den Datenfluss aufgenommen.

MODUS 00

Nicht senden

Senden Sie keine Geschäftsdaten an externe KI. Nutzen Sie gewöhnliche Algorithmen, lokale Verarbeitung oder festgelegte anonymisierte Daten.

Zuerst zu prüfende Option
MODUS A1

Begrenzte Daten senden

Senden Sie nach Entfernung von Kennungen nur vereinbarte Felder an vereinbarte Dienste. Prüfen Sie, ob Übermittlungen protokolliert werden können.

Erfordert Anonymisierung und Minimierung
MODUS C2

Innerhalb der Freigabe senden

Bestätigen Sie Nutzungsbedingungen, Aufbewahrung, Region, Wiederverwendung und Berechtigungen und dokumentieren Sie anschließend die Zieldaten.

Erfordert individuelle Risikobewertung

PRÜFUNG EXTERNER DIENSTE

Was je externem Dienst zu bestätigen ist

  1. 01Gesendete DatenFelder, Häufigkeit, Umfang
  2. 02ZweckVerarbeitung, Benachrichtigung, Analyse
  3. 03Aufbewahrung und WiederverwendungSpeicherung, Lernen, Protokolle
  4. 04Standort und UnterauftragsverarbeiterLand, Region, Lieferkette
  5. 05Beenden und löschenUmgang nach Nutzungsende

Reaktion auf Vorfälle

Planen, was bei einem Vorfall geschieht.

Definieren Sie vor dem Produktivbetrieb Ereignisumfang, Kontakte, Erstmeldung, Eindämmung, Wiederherstellung und Präventionsverantwortung.

01

Erkennen und aufnehmen

Ereignisse über Monitoring, Nutzerkontakt oder Dienstmeldungen erkennen.

02

Eindämmen

Ausbreitung reduzieren und erforderliche Nachweise sichern.

03

Analysieren und entscheiden

Betroffene Daten, Ursache, Auswirkung und Meldebedarf bestätigen.

04

Kommunizieren und reagieren

Stakeholder gemäß Gesetz, Vertrag und Situation kontaktieren.

05

Wiederherstellen und verbessern

Nach Bestätigung der Sicherheit wiederherstellen und Prävention umsetzen.

Vor ProduktivbetriebNotfallkontakt
Vor ProduktivbetriebEreignisumfang
Vor ProduktivbetriebErstmeldeweg
ProjektentwurfMonitoring- und Reaktionszeiten
Gesetz und VertragBenachrichtigung und Meldung

Nachweispaket

Umgesetzte Arbeit überprüfbar machen.

Je nach Wichtigkeit und Vertragsumfang können diese Artefakte erstellt oder aktualisiert werden. Sie sind nicht alle Standardliefergegenstände; wählen Sie bei der Schätzung aus, was benötigt wird.

CSV / 01

Dateninventar

Felder, Zweck, Sensibilität, Standort, Verantwortlicher.

Herunterladen CSV / 02

Datenflussregister

Quelle, Ziel, Zweck, Methode, Unterauftragsverarbeiter.

Herunterladen CSV / 03

Zugriffsmatrix

Rolle, Umgebung, Vorgang, Freigabe, Prüfung.

Herunterladen CSV / 04

Register externer Dienste

Dienst, Zweck, Daten, Standort, Vertrag.

Herunterladen CSV / 05

Register für Aufbewahrung und Löschung

Grund, Frist, Löschmethode, Nachweis, Ausnahme.

Herunterladen CSV / 06

Kontaktliste für Vorfälle

Ereignisklasse, Hauptkontakt, Ersatzkontakt, Entscheidungsverantwortlicher.

Herunterladen CSV / 07

Backup-Wiederherstellungstest

Ziel, Wiederherstellungspunkt, verstrichene Zeit, Ergebnis, Problem.

Herunterladen CSV / 08

Anforderungs-Checkliste

Entwurf, Implementierung, Test, Betrieb, Umgang beim Ausstieg.

Herunterladen CSV / 09

Entscheidungstabelle für KI und externe Dienste

Zweck, gesendete Felder, Aufbewahrung, Freigabe, Stoppverfahren.

Herunterladen
Anfrage

Unterstützung bei Kundenfragebögen

Wir beantworten Sicherheitsfragebögen von Kunden nach Bestätigung der tatsächlichen Praxis und des Projektumfangs. Noch nicht umgesetzte Punkte werden als solche benannt und Alternativen getrennt aufgeführt.

Fragebögen besprechen

Referenzen

Referenzen und was wir nicht behaupten.

Wir nutzen Gesetze, öffentliche Leitlinien und offene Standards als Referenzen bei der Auswahl von Kontrollen für ein Projekt. Die Bezugnahme darauf ist etwas anderes als der Anspruch auf Zertifizierung oder vollständige Compliance.

JAPAN / DATENSCHUTZ

Japanisches Datenschutzrecht und PPC-Richtlinien

Dient als Grundlage zur Prüfung von Sicherheitsmaßnahmen, Umgangsregeln, organisatorischen, personellen, physischen und technischen Maßnahmen sowie externen Umgebungen.

Offizielle Quelle öffnen
RISIKO / MANAGEMENT

NIST Cybersecurity Framework 2.0

Die sechs Funktionen dienen als gemeinsame Sprache für Risiko- und Betriebslücken.

Offizielle Quelle öffnen
ANWENDUNG / VERIFIZIERUNG

OWASP ASVS 5.0

Dient als Referenz beim Strukturieren von Sicherheitsanforderungen und Prüfpunkten für Web- und Anwendungssicherheit.

Offizielle Quelle öffnen

Diese Seite allein bedeutet Folgendes nicht.

ISO/IEC-27001-ZertifizierungPrivacyMark-ZertifizierungVollständige NIST-CSF-ComplianceOWASP-ASVS-ZertifizierungGarantie, dass keine Vorfälle auftretenGleiche Kontrollen für jedes Projekt

FAQ

Häufige Fragen zum Umgang mit Daten.

Benötigen Diagnose oder Prototypen Produktivdaten?

Grundsätzlich prüfen wir zuerst, ob die Validierung mit minimierten anonymisierten oder pseudonymisierten Beispieldaten möglich ist. Wenn Echtdaten erforderlich sind, werden Umfang, Speicherung, Einsichtnehmende und Löschzeitpunkt vorab vereinbart.

Senden Sie Daten an externe generative KI?

Nutzung externer KI, gesendete Daten, Zweck und Aufbewahrung werden je Projekt entschieden. Auch eine Konfiguration ohne Übermittlung von Geschäftsdaten an externe KI kann gewählt werden.

Kann das Speicherland oder die Region gewählt werden?

Standortanforderungen prüfen wir innerhalb der Möglichkeiten der verwendeten Cloud- oder externen Dienste. Wenn grenzüberschreitende Übermittlung relevant ist, werden Dienste und Datenflüsse ausdrücklich gemacht.

Was geschieht nach Lieferung mit Daten und Quellcode?

Verantwortung für Eigentum, Speicherung, Zugriff, Backup und Löschung wird nach Vertrag, Betriebsmodell und Wartungsumfang geklärt.

Besitzen Sie eine Sicherheitszertifizierung?

Diese Seite beansprucht keine bestimmte Zertifizierung. Kontrollen und Prüfartefakte werden je Projekt definiert; Kundenfragebögen können bei Bedarf beantwortet werden.

Wann werden Vorfälle kommuniziert?

Kontakte, Ereignisumfang, Erstmeldemethode und Aktualisierungshäufigkeit werden vor dem Produktivbetrieb festgelegt. Tatsächliche Meldungen richten sich nach Gesetz, Vertrag und Ereignisdetails.

Können medizinische, Pflege- oder andere sensible Daten verarbeitet werden?

Notwendigkeit, rechtliche Anforderungen, Zugriffsumfang, Speicherung, Protokolle, Löschung und Unterauftragsverarbeiter müssen geprüft werden. Es ist ein strengerer Entwurf erforderlich; die Machbarkeit wird je Projekt entschieden.

Können wir Sicherheitstests oder Schwachstellenbewertungen anfragen?

Je nach Ziel und erforderlichem Niveau können Entwurfsprüfung, automatische Prüfungen, manuelle Prüfungen und externe Fachleute kombiniert werden. Umfang und Liefergegenstände werden bei der Schätzung festgelegt.

Nächster Schritt

Trennen Sie zuerst Daten, die geteilt werden können, von Daten, die außen vor bleiben sollten.

Bevor Sie eine ganze Arbeitsmappe senden, können Sie mit Spaltennamen oder anonymisierten Beispieldaten beginnen. Wir sortieren die erforderlichen Kontrollen und den Entwicklungsumfang gemeinsam.

Diagnose starten Datenumgang besprechen Bitte bestätigen Sie die Übermittlungsmethode, bevor Sie vertrauliche Informationen senden.
KostenlosSicherheitsprofil entwerfen