Παραλαμβάνουμε μόνο τα απαραίτητα δεδομένα
Ελέγχουμε πρώτα αν μπορούν να αφαιρεθούν ονόματα, διευθύνσεις, στοιχεία επικοινωνίας, ελεύθερο κείμενο και πλήρη σύνολα δεδομένων. Προτιμώνται μικρά ανωνυμοποιημένα δείγματα πριν από μαζικά δεδομένα.
Ασφάλεια και διαχείριση δεδομένων
Διαχειριζόμαστε τα εμπιστευμένα δεδομένα
χωρίς ασάφεια.
Ορίζουμε ποια δεδομένα χειριζόμαστε, για ποιον σκοπό, από ποιον, σε ποιο περιβάλλον και για πόσο χρόνο. Από τα μαθηματικά πρωτότυπα έως τη λειτουργία παραγωγής, τα όρια και οι ευθύνες συμφωνούνται πρώτα και διατηρούνται ως ελέγξιμα τεκμήρια.
ΕΠΙΠΕΔΟ ΕΛΕΓΧΟΥ ΔΕΔΟΜΕΝΩΝΕΡΓΟ / 001
01ΠελάτηςΠηγαία δεδομένα και επιχειρησιακοί κανόνες
Ελάχιστο αναγκαίο
02FINITE FIELDΣχεδιασμός, ανάπτυξη, επαλήθευση
Συμφωνημένο αντικείμενο
03Υπηρεσίες που χρησιμοποιούνταιCloud και εξωτερικές διασυνδέσεις
ΣκοπόςΟρίζεται εκ των προτέρων
ΠρόσβασηΠεριορίζεται στα απαραίτητα άτομα
ΑποθήκευσηΣυμφωνούνται τόπος και περίοδος
ΔιαγραφήΑποφασίζονται μέθοδος και τεκμήρια
ΣΧΕΔΙΑΣΜΟΣ ΠΡΙΝ ΤΗ ΜΕΤΑΦΟΡΑΠαραλαβή αφού οριστούν τα όρια
Η στάση μας
Δημοσιεύουμε υλικό απόφασης, όχι αόριστες διαβεβαιώσεις.
Η ασφάλεια δεν καθορίζεται από το όνομα προϊόντος ή από μία μόνο λειτουργία. Σχεδιάζουμε με βάση τον τύπο δεδομένων, τον σκοπό, τον οργανισμό, τη λειτουργία και τους υπεργολάβους επεξεργασίας, και κρατάμε το υλοποιημένο αντικείμενο ελέγξιμο.
Ορίζουμε τα όρια πριν από τη μεταφορά
Τόπος αποθήκευσης, θεατές, εξωτερικές υπηρεσίες, χρήση AI, διατήρηση και διαγραφή συμφωνούνται πριν από την παραλαβή δεδομένων ή τη μετάβαση σε παραγωγή.
Αφήνουμε ελέγξιμα τεκμήρια
Ροές δεδομένων, δικαιώματα πρόσβασης, υπεργολάβοι επεξεργασίας, αντίγραφα ασφαλείας, διαγραφή και επαφές περιστατικών τηρούνται ως ελέγξιμα τεκμήρια.
Τι δημοσιεύουμεΠολιτική, στοιχεία σχεδιασμού και ελέγξιμα τεκμήρια
Τι αποφασίζει κάθε έργοΣυγκεκριμένες υπηρεσίες, δικαιώματα, διατήρηση και πεδίο δοκιμών
Τι δεν δημοσιεύουμεΜυστικά ή λεπτομερείς ρυθμίσεις που θα μπορούσαν να βοηθήσουν επιτιθέμενο
Διαδρομή δεδομένων
Αποφασίζουμε κάθε στάδιο από την παραλαβή έως τη διαγραφή.
Τα ίδια δεδομένα χρειάζονται διαφορετικούς ελέγχους για διάγνωση, πρωτότυπα και λειτουργία παραγωγής. Διαχωρίζουμε τι παραλαμβάνεται, τι πρέπει να αποφασιστεί και ποια τεκμήρια μένουν.
ΠΑΡΑΛΑΒΗ
Ξεκινήστε με επεξηγηματικό υλικό και ανωνυμοποιημένα δείγματα.
Προτιμάται μικρός όγκος χειρισμούΠαραδείγματα που παραλαμβάνονται
- Τρέχουσες στήλες υπολογιστικού φύλλου
- Λίγες πλασματικές ή ανωνυμοποιημένες γραμμές
- Επιχειρησιακοί κανόνες και σημεία δυσκολίας
- Μετρικές προς βελτίωση
Αποφασίζονται εκ των προτέρων
- Αν είναι απαραίτητα τα πραγματικά ονόματα
- Πώς αποστέλλονται τα συνημμένα
- Ποιος χειρίζεται τη συμβουλευτική
- Διατήρηση μετά τη συμβουλευτική
Τεκμήρια που διατηρούνται
- Λίστα δεδομένων που παραλήφθηκαν
- Σημείωμα σκοπού
- Ημερομηνία-στόχος διαγραφής
- Ανοικτά ερωτήματα
ΠΡΩΤΟΤΥΠΟ
Ελάχιστα δεδομένα για να ελεγχθεί αν το πρόβλημα μπορεί να λυθεί.
Σχεδιασμός απομονωμένης επικύρωσηςΠαραδείγματα που παραλαμβάνονται
- Αναγνωριστικά προσωπικού, υπόθεσης ή εξοπλισμού
- Χρόνος, προσόντα, δυναμικότητα και σειρά
- Τρέχον σχέδιο και μετρικές
- Δείγματα εξαιρέσεων
Αποφασίζονται εκ των προτέρων
- Μέθοδος ψευδωνυμοποίησης
- Περιβάλλον επικύρωσης και θεατές
- Χρήση εξωτερικής AI
- Διαγραφή ή συνέχιση χρήσης μετά την παράδοση
Τεκμήρια που διατηρούνται
- Λεξικό δεδομένων
- Λίστα περιορισμών
- Πίνακας περιβάλλοντος και πρόσβασης
- Αρχείο χειρισμού τέλους επικύρωσης
ΑΝΑΠΤΥΞΗ
Ορίστε ρόλους και όρια για δεδομένα παραγωγής.
Απαιτείται έλεγχος σχεδιασμούΠαραδείγματα που παραλαμβάνονται
- Δομή δεδομένων ισοδύναμη με παραγωγή
- Χρήστες, δικαιώματα και οργανωτικά δεδομένα
- Προδιαγραφές εξωτερικών διασυνδέσεων
- Απαιτήσεις ελέγχου και αντιγράφων ασφαλείας
Αποφασίζονται εκ των προτέρων
- Διαχωρισμός περιβαλλόντων και μυστικά
- Ελάχιστα δικαιώματα και έλεγχος ταυτότητας
- Πεδίο και διατήρηση αρχείων καταγραφής
- Πεδίο δοκιμών και ανασκόπησης
Τεκμήρια που διατηρούνται
- Διάγραμμα ροής δεδομένων
- Πίνακας πρόσβασης
- Λίστα εξωτερικών υπηρεσιών
- Αρχείο προέγκρισης πριν από την έκδοση
ΛΕΙΤΟΥΡΓΙΑ
Προετοιμαστείτε για ανίχνευση, απόκριση και ανάκαμψη, όχι μόνο για προστασία.
Απαιτείται συνεχής λειτουργίαΠαραδείγματα που παραλαμβάνονται
- Λογαριασμοί και δικαιώματα
- Logs και ειδοποιήσεις
- Αντίγραφα ασφαλείας
- Εξαρτήσεις και ενημερώσεις
Αποφασίζονται εκ των προτέρων
- Ώρες παρακολούθησης και απόκρισης
- Ανασκοπήσεις αλλαγών και πρόσβασης
- Στόχοι ανάκαμψης
- Διαδρομή επικοινωνίας περιστατικών
Τεκμήρια που διατηρούνται
- Διαδικασία λειτουργίας
- Αρχείο δοκιμής αντιγράφων ασφαλείας
- Αρχείο ανασκόπησης πρόσβασης
- Ιστορικό περιστατικών και αλλαγών
ΔΙΑΓΡΑΦΗ
Αποφασίστε τον χειρισμό και μετά τη λήξη του έργου.
Επιβεβαίωση πεδίου διαγραφήςΠαραδείγματα που παραλαμβάνονται
- Αντίγραφα εργασίας
- Κοινόχρηστος χώρος αποθήκευσης
- Αντίγραφα ασφαλείας
- Logs, tickets και συνημμένα
Αποφασίζονται εκ των προτέρων
- Επιστροφή ή διαγραφή
- Νομική και συμβατική διατήρηση
- Χρόνος διαγραφής αντιγράφων ασφαλείας
- Μορφή τεκμηρίων
Τεκμήρια που διατηρούνται
- Λίστα στόχων
- Ημερομηνία διαγραφής
- Εξαιρέσεις και λόγος διατήρησης
- Επιβεβαίωση ολοκλήρωσης
Δημιουργός προφίλ ασφάλειας
Οργανώστε ένα προσχέδιο σχεδιασμού για το έργο σε περίπου δύο λεπτά.
Αυτό είναι βοήθημα σχεδιασμού για την πρώτη συνάντηση, όχι έλεγχος ή εγγύηση. Δεν απαιτούνται στοιχεία επικοινωνίας.
Βήμα 01 / Κατηγορία δεδομένων
Επιλέξτε δεδομένα που μπορεί να χειριστούμε
Το προσχέδιο βασίζεται στην κατηγορία που χρειάζεται τον πιο προσεκτικό χειρισμό. Επιτρέπονται πολλαπλές επιλογές.
Βήμα 02 / Φάση παράδοσης
Ποια φάση εξετάζετε;
Η σύντομη επικύρωση και η λειτουργία παραγωγής χρειάζονται διαφορετικούς ελέγχους, ακόμη και για τα ίδια δεδομένα.
Βήμα 03 / Εξωτερική επεξεργασία
Εξωτερική AI και υπηρεσίες
Cloud, mail, χάρτες, analytics και υπηρεσίες ειδοποιήσεων ελέγχονται με την ίδια λογική ροής δεδομένων.
Βήμα 04 / Λειτουργικές ανάγκες
Επιλέξτε τις απαιτούμενες λειτουργικές ανάγκες
Επιτρέπονται πολλαπλές επιλογές. Ακόμη και αβέβαια στοιχεία μπαίνουν ως θέματα συνάντησης.
Προσχέδιο σχεδιασμού / όχι έλεγχος
Σχεδιασμός περιορισμένου πρωτοτύπου
Ξεκινήστε με ελάχιστα δεδομένα, σύντομη διατήρηση και χωριστό περιβάλλον επικύρωσης.
ΠροφίλΤΥΠΙΚΟP0-B
Ελάχιστοι έλεγχοι
Αποφάσεις έργου
Τεκμήρια προς προετοιμασία
Πώς να διαβάσετε αυτό το αποτέλεσμα:
Πρόκειται για προκαταρκτικό προσχέδιο σχεδιασμού από τις επιλεγμένες εισόδους. Οι τελικοί έλεγχοι αποφασίζονται αφού επιβεβαιωθούν νομικές υποχρεώσεις, όροι σύμβασης, απειλές, αρχιτεκτονική cloud και λειτουργίες.
Μοντέλο ελέγχων
Καλύπτουμε ανίχνευση, απόκριση και ανάκαμψη, όχι μόνο πρόληψη.
Χρησιμοποιούμε τις έξι λειτουργίες του NIST Cybersecurity Framework 2.0 ως οπτικές ελέγχου έργου. Αυτό δεν αποτελεί ισχυρισμό πιστοποίησης ή πλήρους συμμόρφωσης.
Διακυβέρνηση
Αποσαφήνιση υπευθύνων, πολιτικής, συμβάσεων, υπεργολάβων επεξεργασίας και αποδεκτού κινδύνου.
Παράδειγμα: πίνακας ευθυνών, λίστα υπηρεσιώνΤαυτοποίηση
Κατανόηση στοιχείων, δεδομένων, εξαρτήσεων, απειλών και επιπτώσεων.
Παράδειγμα: ροή δεδομένων, μητρώο στοιχείωνΠροστασία
Σχεδιασμός ελέγχου ταυτότητας, ελάχιστων δικαιωμάτων, κρυπτογράφησης, μυστικών και ασφαλούς υλοποίησης.
Παράδειγμα: πίνακας δικαιωμάτων, έλεγχος υλοποίησηςΑνίχνευση
Ορισμός απαιτούμενων logs, παρακολούθησης, ειδοποιήσεων και κριτηρίων ανωμαλιών.
Παράδειγμα: στοιχεία παρακολούθησης, διατήρηση logsΑπόκριση
Προετοιμασία διαλογής, περιορισμού, διερεύνησης, επικοινωνίας και πρόληψης.
Παράδειγμα: δέντρο επικοινωνίας, διαδικασία πρώτης απόκρισηςΑνάκαμψη
Σχεδιασμός ακεραιότητας αντιγράφων ασφαλείας, σειράς ανάκαμψης, επανεκκίνησης επιχειρησιακής λειτουργίας και επακόλουθης ανασκόπησης.
Παράδειγμα: εγχειρίδιο ανάκαμψης, αρχείο δοκιμήςΑσφάλεια εφαρμογών
Για web και εφαρμογές, ελέγχουμε από τον σχεδιασμό έως τη λειτουργία.
Χρησιμοποιούμε το OWASP ASVS 5.0 ως αναφορά για απαιτήσεις ασφάλειας και στοιχεία επαλήθευσης. Ανασκόπηση, αυτοματοποιημένοι έλεγχοι, χειροκίνητοι έλεγχοι και εξωτερικές δοκιμές συνδυάζονται ανάλογα με τη σημασία και τον προϋπολογισμό.
- 01Απαιτήσεις και απειλέςΟργάνωση δεδομένων, δικαιωμάτων και επιφάνειας επίθεσης
- 02ΥλοποίησηΈλεγχος ταυτότητας, εισαγωγή, μυστικά και εξαρτήσεις
- 03ΕπαλήθευσηΑνασκόπηση, δοκιμές και έλεγχος ρυθμίσεων
- 04ΛειτουργίαΠαρακολούθηση, ενημερώσεις, δικαιώματα και ανάκαμψη
Πρωτότυπο έναντι παραγωγής
Δεν αντιμετωπίζουμε τα πρωτότυπα και την παραγωγή με τον ίδιο τρόπο.
Η σύγκριση δείχνει κριτήρια σχεδιασμού που οριστικοποιούνται ανά έργο, όχι σταθερές εγγυήσεις.
| Στοιχείο ελέγχου | P0 μαθηματικό πρωτότυπο | P1 σύστημα παραγωγής |
|---|---|---|
| Σκοπός | Επικύρωση σκοπιμότητας και μετρικών | Συνεχής επιχειρησιακή επεξεργασία |
| Όγκος δεδομένων | Προτιμώνται μικρά, ανωνυμοποιημένα και απαραίτητα πεδία | Ορίζεται επίσημα το απαιτούμενο λειτουργικό πεδίο |
| Περιβάλλον | Χωριστό βραχυπρόθεσμο περιβάλλον επικύρωσης | Εξετάζεται διαχωρισμός ανάπτυξης, δοκιμής και παραγωγής |
| Πρόσβαση | Περιορισμός στα ανατεθειμένα άτομα | Δικαιώματα ρόλων, έλεγχος ταυτότητας και ανασκοπήσεις |
| Εξωτερική AI | Αφετηρία είναι σχεδιασμός που δεν στέλνει περιττά δεδομένα | Συμφωνούνται σκοπός, στόχος, σύμβαση, ρυθμίσεις και logs |
| Διατήρηση | Αποφασίστε πρώτα την ημερομηνία λήξης | Εξετάζονται σκοπός, νόμος, λειτουργίες και αντίγραφα ασφαλείας |
| Διαγραφή | Επιβεβαίωση διαγραφής ή συνέχισης χρήσης μετά την παράδοση | Σχεδιασμός εξόδου λογαριασμών, λήξης σύμβασης, νομικής διατήρησης και αντιγράφων ασφαλείας |
| Ανάκαμψη | Εκτίμηση αν μπορεί να αναδημιουργηθεί | Ορισμός στόχων ανάκαμψης και δοκιμών αντιγράφων ασφαλείας |
Κοινή ευθύνη
Διαχωρίστε ποιος προστατεύει τι πριν από τη σύμβαση.
Η χρήση cloud δεν κάνει αυτόματα τα πάντα ασφαλή, και ένας προγραμματιστής δεν μπορεί να διαχειριστεί κάθε κίνδυνο μόνος του. Διαχωρίζουμε τους ρόλους του πελάτη, της Finite Field και των υπηρεσιών που χρησιμοποιούνται.
ΤΟ ΔΙΚΟ ΜΑΣ ΠΕΔΙΟ
Σχεδιασμός, υλοποίηση και λειτουργίες ανάπτυξης
Εντός του συμβατικού πεδίου, χειριζόμαστε τους ελέγχους συστήματος και τη διαχείριση δεδομένων κατά την ανάπτυξη.
- Σχεδιασμός ροής δεδομένων και δικαιωμάτων
- Ασφαλής υλοποίηση εφαρμογής
- Διαχείριση μυστικών και περιβάλλοντος ανάπτυξης
- Συμφωνημένες δοκιμές και ανασκόπηση
- Παρακολούθηση, ενημερώσεις και απόκριση εντός του πεδίου συντήρησης
ΠΕΔΙΟ ΠΕΛΑΤΗ
Ευθύνες επιχείρησης, χρηστών και δεδομένων
Η νόμιμη χρήση δεδομένων, οι λειτουργίες χρηστών και τερματικών και οι εσωτερικοί κανόνες παραμένουν σημαντικές ευθύνες του πελάτη.
- Σκοπός και εγκυρότητα των δεδομένων εισόδου
- Εγγραφή χρηστών, αποχώρηση και αιτήματα δικαιωμάτων
- Τερματικά, εσωτερικό δίκτυο και μέθοδος κοινοποίησης
- Αναφορά ύποπτων συμβάντων και επιχειρησιακές αποφάσεις
- Οδηγία επιστροφής ή διαγραφής στο τέλος της σύμβασης
ΠΕΔΙΟ ΠΛΑΤΦΟΡΜΑΣ
Τι καλύπτουν οι υπηρεσίες πλατφόρμας
Οι φυσικές εγκαταστάσεις, οι υπηρεσίες πλατφόρμας και το πεδίο των διαχειριζόμενων υπηρεσιών ακολουθούν τη σύμβαση και το μοντέλο κοινής ευθύνης κάθε υπηρεσίας.
- Κέντρα δεδομένων και υποδομή
- Διαθεσιμότητα υπηρεσίας και ενημερώσεις
- Λειτουργίες πρόσβασης πλατφόρμας και κρυπτογράφησης
- Συμβατικοί όροι αποθήκευσης και επεξεργασίας
- Πληροφορίες περιστατικών υπηρεσίας και ασφάλειας
Στοιχεία που πρέπει να δηλωθούν ρητά στη σύμβασηΧειριστήςΏρες παρακολούθησηςΑντίγραφα ασφαλείαςΕργασίες ανάκαμψηςΕρωτήματαΧειρισμός τέλους χρήσης
AI και τρίτοι
Μην κάνετε την εξωτερική AI αόρατο υπεργολάβο επεξεργασίας.
Όταν δεδομένα πηγαίνουν σε γενετική AI, χάρτες, mail, analytics, ειδοποιήσεις, πληρωμές ή άλλες υπηρεσίες, ο σκοπός και το πεδίο περιλαμβάνονται στη ροή δεδομένων.
Μην αποστέλλετε
Μην στέλνετε επιχειρησιακά δεδομένα σε εξωτερική AI. Χρησιμοποιήστε συνηθισμένους αλγόριθμους, τοπική επεξεργασία ή σταθερά ανωνυμοποιημένα δεδομένα.
Πρώτη επιλογή προς εξέτασηΑποστολή περιορισμένων δεδομένων
Στείλτε μόνο συμφωνημένα πεδία σε συμφωνημένες υπηρεσίες αφού αφαιρεθούν τα αναγνωριστικά. Ελέγξτε αν οι μεταφορές μπορούν να καταγραφούν.
Απαιτεί ανωνυμοποίηση και ελαχιστοποίησηΑποστολή εντός έγκρισης
Επιβεβαιώστε όρους υπηρεσίας, διατήρηση, περιοχή, όρους επαναχρήσης και δικαιώματα και μετά τεκμηριώστε τα δεδομένα στόχο.
Χρειάζεται ατομική κρίση κινδύνουΕΛΕΓΧΟΣ ΕΞΩΤΕΡΙΚΗΣ ΥΠΗΡΕΣΙΑΣ
Τι επιβεβαιώνεται ανά εξωτερική υπηρεσία
- 01Δεδομένα που αποστέλλονταιΠεδία, συνημμένα, logs, prompts και αποτελέσματα
- 02ΣκοπόςΓιατί απαιτείται η εξωτερική υπηρεσία
- 03ΔιατήρησηΑποθήκευση, εκμάθηση και logs
- 04ΠεριοχήΧώρα, περιοχή και αλυσίδα παρόχων
- 05Διακοπή και διαγραφήΠοιος μπορεί να τη σταματήσει και πώς επιβεβαιώνεται η διαγραφή
Απόκριση σε περιστατικά
Σχεδιάζουμε τι θα συμβεί αν προκύψει περιστατικό.
Πριν από τη λειτουργία παραγωγής, ορίζουμε πεδίο συμβάντος, επαφές, πρώτη ειδοποίηση, περιορισμό, ανάκαμψη και ευθύνες πρόληψης.
Ανίχνευση και παραλαβή
Ανίχνευση συμβάντων από παρακολούθηση, επικοινωνία χρήστη ή ειδοποιήσεις υπηρεσίας.
Περιορισμός
Προσωρινή διακοπή πρόσβασης, διασύνδεσης ή λειτουργίας, όταν χρειάζεται.
Έρευνα
Επιβεβαίωση επηρεαζόμενων δεδομένων, αιτίας, επίπτωσης και ανάγκης αναφοράς.
Ενημέρωση
Επικοινωνία με ενδιαφερόμενους βάσει νόμου, σύμβασης και κατάστασης.
Ανάκαμψη και βελτίωση
Ανάκαμψη αφού επιβεβαιωθεί η ασφάλεια και εφαρμογή πρόληψης.
Πριν από την παραγωγήΥπεύθυνος επικοινωνίας περιστατικών
Πριν από την παραγωγήΠρώτη διαδρομή ειδοποίησης
Πριν από την παραγωγήΏρες παρακολούθησης και απόκρισης
Σχεδιασμός έργουΜέθοδος ανάκαμψης και σειρά προτεραιότητας
Νόμος και σύμβασηΕιδοποίηση και αναφορά
Πακέτο τεκμηρίων
Κάνουμε την υλοποιημένη εργασία ελέγξιμη.
Ανάλογα με τη σημασία και το συμβατικό πεδίο, αυτά τα τεκμήρια μπορούν να δημιουργηθούν ή να ενημερωθούν. Δεν είναι όλα τυπικά παραδοτέα, επομένως επιλέγεται ό,τι χρειάζεται κατά την εκτίμηση.
CSV / 01
Μητρώο δεδομένων
Ποια δεδομένα χειρίζεται το έργο, για ποιον σκοπό και για πόσο χρόνο.
Λήψη CSV / 02Μητρώο ροής δεδομένων
Από πού εισέρχονται τα δεδομένα, πού αποθηκεύονται και πού αποστέλλονται.
Λήψη CSV / 03Πίνακας πρόσβασης
Ρόλοι, λογαριασμοί, περιβάλλοντα και πεδίο δικαιωμάτων.
Λήψη CSV / 04Μητρώο εξωτερικών υπηρεσιών
Cloud, AI, mail, analytics, χάρτες και λοιποί εξωτερικοί προορισμοί.
Λήψη CSV / 05Αρχείο ανασκόπησης έκδοσης
Ρυθμίσεις, δικαιώματα, δοκιμές και ανοιχτά ζητήματα πριν από την έκδοση.
Λήψη CSV / 06Φύλλο επαφών περιστατικών
Ποιος ειδοποιείται, με ποια σειρά και εντός ποιου χρονικού πλαισίου.
Λήψη CSV / 07Αρχείο δοκιμής αντιγράφων ασφαλείας
Στόχοι ανάκαμψης, αποτελέσματα δοκιμών και γνωστοί περιορισμοί.
Λήψη CSV / 08Αρχείο διαγραφής
Στόχοι, ημερομηνία, εξαιρέσεις και επιβεβαίωση ολοκλήρωσης.
Λήψη CSV / 09Έλεγχος εξωτερικής AI
Σκοπός, πεδία που αποστέλλονται, διατήρηση, έγκριση και διαδικασία διακοπής.
ΛήψηΑίτημα
Συζήτηση ερωτηματολογίων Υποστήριξη ερωτηματολογίων πελάτη
Απαντούμε σε φύλλα ελέγχου ασφάλειας πελατών αφού επιβεβαιώσουμε τις πραγματικές πρακτικές και το πεδίο του έργου. Τα μη υλοποιημένα στοιχεία δηλώνονται ως τέτοια, με τις εναλλακτικές χωριστά.
Αναφορές
Αναφορές και τι δεν ισχυριζόμαστε.
Χρησιμοποιούμε νόμους, δημόσιες οδηγίες και ανοικτά πρότυπα ως αναφορές όταν επιλέγουμε ελέγχους για ένα έργο. Η αναφορά σε αυτά διαφέρει από ισχυρισμό πιστοποίησης ή πλήρους συμμόρφωσης.
Νόμος απορρήτου Ιαπωνίας και οδηγίες PPC
Χρησιμοποιούνται ως βάση για τον έλεγχο μέτρων ασφαλούς διαχείρισης, κανόνων χειρισμού, οργανωτικών, ανθρώπινων, φυσικών και τεχνικών μέτρων και εξωτερικών περιβαλλόντων.
Άνοιγμα επίσημης πηγήςNIST Cybersecurity Framework 2.0
Οι έξι λειτουργίες χρησιμοποιούνται ως κοινή γλώσσα για κινδύνους και λειτουργικά κενά.
Άνοιγμα επίσημης πηγήςOWASP ASVS 5.0
Χρησιμοποιείται ως αναφορά κατά την οργάνωση απαιτήσεων ασφάλειας web και εφαρμογών και στοιχείων επαλήθευσης.
Άνοιγμα επίσημης πηγήςΑυτή η σελίδα από μόνη της δεν σημαίνει τα εξής.
Πιστοποίηση ISO/IEC 27001Πιστοποίηση PrivacyMarkΠλήρης συμμόρφωση με NIST CSFΠιστοποίηση OWASP ASVSΕγγύηση μηδενικών περιστατικώνΊδιοι έλεγχοι για κάθε έργοFAQ
Συχνές ερωτήσεις για τη διαχείριση δεδομένων.
Απαιτούνται δεδομένα παραγωγής για διάγνωση ή πρωτότυπα;
Καταρχήν ελέγχουμε πρώτα αν η επικύρωση μπορεί να γίνει με ελαχιστοποιημένα ανωνυμοποιημένα ή ψευδωνυμοποιημένα δείγματα. Αν είναι απαραίτητα πραγματικά δεδομένα, το πεδίο, η αποθήκευση, οι θεατές και ο χρόνος διαγραφής συμφωνούνται εκ των προτέρων.
Στέλνετε δεδομένα σε εξωτερική γενετική AI;
Η χρήση εξωτερικής AI, τα δεδομένα που αποστέλλονται, ο σκοπός και η διατήρηση αποφασίζονται ανά έργο. Μπορεί επίσης να επιλεγεί διαμόρφωση που δεν στέλνει επιχειρησιακά δεδομένα σε εξωτερική AI.
Μπορεί να επιλεγεί χώρα ή περιοχή αποθήκευσης;
Ελέγχουμε τις απαιτήσεις τοποθεσίας μέσα στις δυνατότητες του cloud ή των εξωτερικών υπηρεσιών που χρησιμοποιούνται. Όταν η διασυνοριακή μεταφορά έχει σημασία, οι υπηρεσίες και οι ροές δεδομένων δηλώνονται ρητά.
Τι συμβαίνει με τα δεδομένα και τον πηγαίο κώδικα μετά την παράδοση;
Η κυριότητα, η αποθήκευση, η πρόσβαση, τα αντίγραφα ασφαλείας και οι ευθύνες διαγραφής αποσαφηνίζονται σύμφωνα με τη σύμβαση, το λειτουργικό μοντέλο και το πεδίο συντήρησης.
Διαθέτετε πιστοποίηση ασφάλειας;
Αυτή η σελίδα δεν ισχυρίζεται συγκεκριμένη πιστοποίηση. Οι έλεγχοι και τα τεκμήρια ανασκόπησης ορίζονται ανά έργο, και τα φύλλα ελέγχου πελατών μπορούν να απαντηθούν όταν χρειάζεται.
Πότε επικοινωνούνται τα περιστατικά;
Οι επαφές, το πεδίο συμβάντος, η μέθοδος πρώτης ειδοποίησης και η συχνότητα ενημέρωσης αποφασίζονται πριν από τη λειτουργία παραγωγής. Οι πραγματικές ειδοποιήσεις ακολουθούν τον νόμο, τη σύμβαση και τις λεπτομέρειες του συμβάντος.
Μπορείτε να χειριστείτε ιατρικά, φροντίδας ή άλλα ευαίσθητα δεδομένα;
Πρέπει να ελεγχθούν αναγκαιότητα, νομικές απαιτήσεις, πεδίο πρόσβασης, αποθήκευση, logs, διαγραφή και υπεργολάβοι επεξεργασίας. Απαιτείται αυστηρότερος σχεδιασμός και η σκοπιμότητα αποφασίζεται ανά έργο.
Μπορούμε να ζητήσουμε δοκιμές ασφάλειας ή αξιολόγηση ευπαθειών;
Ανάλογα με τον στόχο και το απαιτούμενο επίπεδο, μπορούν να συνδυαστούν ανασκόπηση σχεδιασμού, αυτοματοποιημένοι έλεγχοι, χειροκίνητοι έλεγχοι και εξωτερικοί ειδικοί. Το πεδίο και τα παραδοτέα καθορίζονται κατά την εκτίμηση.
Επόμενο βήμα
Πρώτα, διαχωρίστε τα δεδομένα που μπορούν να κοινοποιηθούν από όσα πρέπει να μείνουν εκτός.
Πριν στείλετε ολόκληρο βιβλίο εργασίας, μπορείτε να ξεκινήσετε με ονόματα στηλών ή ανωνυμοποιημένα δείγματα. Θα ξεκαθαρίσουμε μαζί τους απαιτούμενους ελέγχους και το πεδίο ανάπτυξης.
Έναρξη διάγνωσης Συζήτηση διαχείρισης δεδομένων Επιβεβαιώστε τη μέθοδο μεταφοράς πριν στείλετε εμπιστευτικές πληροφορίες.