Võta vastu ainult vajalikud andmed
Kontrollime esmalt, kas nimed, aadressid, kontaktandmed, vabatekst ja täielikud andmestikud saab eemaldada. Enne mahukaid andmeid eelistame väikseid anonüümitud näidiseid.
Turve ja andmete käsitlemine
Käsitle usaldatud andmeid
ilma ebaselguseta.
Määratleme, milliseid andmeid käsitletakse, mis eesmärgil, kelle poolt, millises keskkonnas ja kui kaua. Matemaatilistest prototüüpidest tootmiskäitamiseni lepitakse piirid ja vastutus esmalt kokku ning jäetakse ülevaadatava tõendusena alles.
ANDMEKONTROLLI TASANDPROJEKT / 001
01KlientLähteandmed ja ärireeglid
Vajalik miinimum
02FINITE FIELDDisain, arendus, verifitseerimine
Kokkulepitud ulatus
03Kasutatavad teenusedPilv ja välised integratsioonid
EesmärkMääratud ette
LigipääsPiiratud vajalike inimestega
SäilitamineAsukoht ja periood kokku lepitud
KustutamineMeetod ja tõendus otsustatud
KAVANDA ENNE EDASTAMISTVõta vastu pärast piiride määramist
Meie seisukoht
Avaldame otsustusmaterjali, mitte ebamäärast kinnitust.
Turvet ei määra tootenimi ega üksik funktsioon. Kavandame andmetüübi, eesmärgi, organisatsiooni, töökorralduse ja alltöötlejate ümber ning hoiame rakendatud ulatuse ülevaadatavana.
Määra piirid enne edastamist
Säilituskoht, vaatajad, välised teenused, AI kasutus, säilitamine ja kustutamine lepitakse kokku enne andmete vastuvõttu või tootmisse üleminekut.
Jäta ülevaadatavad artefaktid
Andmevood, ligipääsuõigused, alltöötlejad, varundus, kustutamine ja intsidendikontaktid säilitatakse kontrollitavate artefaktidena.
Mida avaldamePõhimõtted, disainipunktid ja ülevaadatavad artefaktid
Mida iga projekt otsustabKonkreetsed teenused, õigused, säilitamine ja testimise ulatus
Mida me ei avaldaSaladused või detailsed seaded, mis võiksid ründajat aidata
Andmete teekond
Otsusta iga etapp vastuvõtust kustutamiseni.
Samad andmed vajavad diagnoosi, prototüübi ja tootmiskäitamise puhul erinevaid kontrolle. Eraldame, mida vastu võetakse, mida tuleb otsustada ja milline tõendus alles jääb.
VASTUVÕTT
Alusta selgitusmaterjalidest ja anonüümitud näidistest.
Eelista väikest käsitlusmahtuVastuvõetud näited
- Praeguse arvutustabeli veerud
- Mõned väljamõeldud või anonüümitud read
- Ärireeglid ja valupunktid
- Parandatavad mõõdikud
Otsusta ette
- Kas pärisnimed on vajalikud
- Kuidas manuseid saadetakse
- Kes konsultatsiooni käsitleb
- Säilitamine pärast konsultatsiooni
Säilitatavad tõendid
- Vastuvõetud andmete loend
- Eesmärgi memo
- Kustutamise sihtkuupäev
- Avatud küsimused
PROTOTÜÜP
Miinimumandmed, et testida, kas probleemi saab lahendada.
Kavanda eraldatud valideerimineVastuvõetud näited
- Töötajate, juhtumite või seadmete identifikaatorid
- Aeg, kvalifikatsioon, maht ja järjekord
- Praegune plaan ja mõõdikud
- Erandite näidised
Otsusta ette
- Pseudonüümimise meetod
- Valideerimiskeskkond ja vaatajad
- Välise AI kasutus
- Kustutamine või jätkuv kasutus pärast üleandmist
Säilitatavad tõendid
- Andmesõnastik
- Piirangute loend
- Keskkonna ja ligipääsu tabel
- Valideerimise lõpetamise kirje
ARENDUS
Fikseeri tootmisandmete rollid ja piirid.
Disaini ülevaatus on vajalikVastuvõetud näited
- Tootmisega võrdväärne andmestruktuur
- Kasutajad, õigused ja organisatsiooniandmed
- Välise integratsiooni spetsifikatsioonid
- Auditi- ja varundusnõuded
Otsusta ette
- Keskkondade eraldamine ja saladused
- Vähimad õigused ja autentimine
- Logide ulatus ja säilitamine
- Testimise ja ülevaatuse ulatus
Säilitatavad tõendid
- Andmevoo skeem
- Ligipääsumaatriks
- Väliste teenuste loend
- Väljalaske-eelse ülevaatuse kirje
KÄITAMINE
Valmistu avastama, reageerima ja taastuma, mitte ainult kaitsma.
Vajalik on pidev käitamineVastuvõetud näited
- Kontod ja õigused
- Logid ja hoiatused
- Varukoopiad
- Sõltuvused ja uuendused
Otsusta ette
- Seire- ja reageerimisajad
- Muudatuste ja ligipääsu ülevaatused
- Taaste-eesmärgid
- Intsidendi kontaktitee
Säilitatavad tõendid
- Käitamisjuhis
- Varundustesti kirje
- Ligipääsuülevaatuse kirje
- Intsidentide ja muudatuste ajalugu
KUSTUTAMINE
Otsusta käsitlus ka pärast projekti lõppu.
Kinnita kustutamise ulatusVastuvõetud näited
- Töökoopiad
- Jagatud salvestusruum
- Varukoopiad
- Logid, piletid ja manused
Otsusta ette
- Tagastamine või kustutamine
- Õiguslik ja lepinguline säilitamine
- Varukoopiate kustutamise ajastus
- Tõenduse vorming
Säilitatavad tõendid
- Sihtloend
- Kustutamise kuupäev
- Erandid ja allesjäämise põhjus
- Lõpetamise kinnitus
Turbeprofiili koostaja
Korrasta projektipõhine disainikavand umbes kahe minutiga.
See on esimese kohtumise disainiabivahend, mitte audit ega garantii. Kontaktandmeid ei nõuta.
Samm 01 / Andmeklass
Vali andmed, mida võidakse käsitleda
Kavand põhineb kategoorial, mis vajab kõige hoolikamat käsitlemist. Lubatud on mitu valikut.
Samm 02 / Projekti etapp
Millist etappi kaalute?
Lühike valideerimine ja tootmiskäitamine vajavad samade andmete puhul erinevaid kontrolle.
Samm 03 / Väline töötlemine
Väline AI ja teenused
Pilve-, posti-, kaardi-, analüütika- ja teavitusteenuseid vaadatakse üle sama andmevoo mõtteviisiga.
Samm 04 / Käitusvajadused
Vali vajalikud käitusvajadused
Lubatud on mitu valikut. Ka ebakindlad punktid lisatakse kohtumise teemadeks.
Disainikavand / mitte audit
Piiratud prototüübi disain
Alusta minimaalsete andmete, lühikese säilitamise ja eraldatud valideerimiskeskkonnaga.
ProfiilTAVATASANDP0-B
Miinimumkontrollid
Projektiotsused
Ettevalmistatavad tõendid
Kuidas tulemust lugeda:
See on valitud sisendite põhjal esialgne disainikavand. Lõplikud kontrollid otsustatakse pärast õiguslike kohustuste, lepingutingimuste, ohtude, pilvearhitektuuri ja käitamise kinnitamist.
Kontrollimudel
Kata avastamine, reageerimine ja taastamine, mitte ainult ennetus.
Kasutame NIST Cybersecurity Framework 2.0 kuut funktsiooni projekti ülevaatuse vaatepunktidena. See ei ole sertifikaat ega täieliku vastavuse väide.
Juhi
Selgita omanikud, põhimõtted, lepingud, alltöötlejad ja vastuvõetav risk.
Näide: vastutustabel, teenuste loendTuvasta
Mõista varasid, andmeid, sõltuvusi, ohte ja mõju.
Näide: andmevoog, varade registerKaitse
Kavanda autentimine, vähimad õigused, krüptimine, saladused ja turvaline teostus.
Näide: õiguste maatriks, teostuse kontrollAvasta
Määra vajalikud logid, seire, hoiatused ja anomaalia kriteeriumid.
Näide: seirepunktid, logide säilitamineReageeri
Valmista ette triaaž, ohjamine, uurimine, kommunikatsioon ja ennetus.
Näide: kontaktipuu, esmase reageerimise kordTaastu
Kavanda varukoopia terviklus, taastamise järjekord, äritegevuse taaskäivitus ja järelülevaatus.
Näide: taastejuhend, testikirjeRakenduse turve
Veebi ja rakenduste puhul kontrolli disainist käitamiseni.
Kasutame OWASP ASVS 5.0 turbenõuete ja verifitseerimispunktide viitena. Ülevaatus, automaatsed kontrollid, käsitsi kontrollid ja väline testimine kombineeritakse olulisuse ja eelarve järgi.
- 01Nõuded ja ohudKorrasta andmed, õigused ja ründepind
- 02TeostusAutentimine, sisend, saladused, sõltuvused
- 03VerifitseerimineÜlevaatus, testimine, konfiguratsiooni kontroll
- 04KäitamineSeire, uuendused, õigused, taastamine
Prototüüp ja tootmine
Me ei käsitle prototüüpe ja tootmist samamoodi.
See võrdlus näitab projektipõhiselt fikseeritavaid disainikriteeriume, mitte püsigarantiisid.
| Ülevaatuspunkt | P0 matemaatiline prototüüp | P1 tootmissüsteem |
|---|---|---|
| Eesmärk | Valideeri teostatavus ja mõõdikud | Pidev äritöötlus |
| Andmemaht | Eelista väikseid, anonüümitud ja vajalikke välju | Määra ametlikult vajalik käitusulatus |
| Keskkond | Eralda lühiajaline valideerimiskeskkond | Kaalu arendus-, testi- ja tootmiskeskkonna eraldamist |
| Ligipääs | Piira määratud inimestega | Rolliõigused, autentimine, ülevaatused |
| Väline AI | Alusta disainist, mis ei saada mittevajalikke andmeid | Lepi kokku eesmärk, siht, leping, seaded ja logid |
| Säilitamine | Otsusta esmalt lõppkuupäev | Arvesta eesmärki, seadust, käitamist ja varukoopiaid |
| Kustutamine | Kinnita kustutamine või jätkuv kasutus pärast üleandmist | Kavanda konto sulgemine, lepingu lõpp, õiguslik säilitamine ja varukoopiad |
| Taastamine | Hinda, kas seda saab uuesti luua | Määra taaste-eesmärgid ja varundustestid |
Jagatud vastutus
Eralda enne lepingut, kes mida kaitseb.
Pilve kasutamine ei tee kõike automaatselt turvaliseks ning arendaja ei saa üksi kõiki riske hallata. Eristame kliendi, Finite Fieldi ja kasutatavate teenuste rolle.
MEIE ULATUS
Disain, teostus ja arenduskäitused
Lepingulises ulatuses käsitleme süsteemikontrolle ja arendusaegset andmekäsitlust.
- Andmevoo ja õiguste disain
- Turvaline rakenduse teostus
- Saladuste ja arenduskeskkonna haldus
- Kokkulepitud testimine ja ülevaatus
- Seire, uuendused ja reageerimine hooldusulatuse piires
KLIENDI ULATUS
Äri, kasutajate ja andmete vastutus
Õiguspärane andmekasutus, kasutajate ja lõppseadmete käitamine ning sisereeglid jäävad olulisteks kliendi vastutusteks.
- Sisendandmete eesmärk ja kehtivus
- Kasutajate registreerimine, lahkumise käsitlus ja õiguste taotlused
- Lõppseadmed, sisevõrk ja jagamisviis
- Kahtlastest sündmustest ja äriotsustest teatamine
- Tagastamise või kustutamise juhis lepingu lõpus
PLATVORMI ULATUS
Mida platvormiteenused katavad
Füüsilised rajatised, platvormiteenused ja hallatud teenuse ulatus järgivad iga teenuse lepingut ja jagatud vastutuse mudelit.
- Andmekeskused ja taristu
- Teenuse käideldavus ja uuendused
- Platvormi ligipääsu- ja krüptimisfunktsioonid
- Lepingulised säilitamis- ja töötlemistingimused
- Teenuse intsidentide ja turbeinfo
Lepingus selgelt fikseeritavad punktidKäitajaSeireajadVarundusTaastetööPäringudKasutuse lõpu käsitlus
AI ja kolmandad osapooled
Ära tee välisest AI-st nähtamatut alltöötlejat.
Kui andmed liiguvad generatiivsesse AI-sse, kaartidesse, e-posti, analüütikasse, teavitustesse, maksetesse või muudesse teenustesse, lisatakse eesmärk ja ulatus andmevoogu.
Ära saada
Ära saada äriandmeid välisesse AI-sse. Kasuta tavalisi algoritme, kohalikku töötlemist või fikseeritud anonüümitud andmeid.
Esimene kaalutav valikSaada piiratud andmeid
Saada pärast identifikaatorite eemaldamist ainult kokkulepitud väljad kokkulepitud teenustesse. Kontrolli, kas edastusi saab registreerida.
Vajab anonüümimist ja minimeerimistSaada kinnitatud ulatuses
Kinnita teenusetingimused, säilitamine, piirkond, taaskasutuse tingimused ja õigused ning dokumenteeri sihtandmed.
Vajab individuaalset riskihinnangutVÄLISE TEENUSE KONTROLL
Mida kinnitada iga välise teenuse kohta
- 01Saadetavad andmedVäljad, sagedus, maht
- 02EesmärkTöötlemine, teavitamine, analüüs
- 03Säilitamine ja taaskasutusSäilitamine, õppimine, logid
- 04Asukoht ja alltöötlejadRiik, piirkond, tarneahel
- 05Peata ja kustutaKasutuse lõpu käsitlus
Intsidentidele reageerimine
Planeeri, mis juhtub intsidendi korral.
Enne tootmiskäitust määrake sündmuse ulatus, kontaktid, esmane teade, ohjamine, taastamine ja ennetusvastutus.
Tuvasta ja võta vastu
Tuvasta sündmused seirest, kasutajakontaktist või teenuseteavitustest.
Ohja
Vähenda levikut ja säilita vajalik tõendus.
Analüüsi ja otsusta
Kinnita mõjutatud andmed, põhjus, mõju ja teavitamisvajadus.
Teavita ja reageeri
Võta huvipooltega ühendust seaduse, lepingu ja olukorra alusel.
Taasta ja paranda
Taasta pärast ohutuse kinnitamist ja rakenda ennetust.
Enne tootmistHädaolukorra kontakt
Enne tootmistSündmuse ulatus
Enne tootmistEsmase teate tee
Projekti disainSeire- ja reageerimisajad
Seadus ja lepingTeavitamine ja aruandlus
Tõenduspakett
Tee rakendatud töö ülevaadatavaks.
Olulisuse ja lepingu ulatuse järgi saab neid artefakte luua või uuendada. Kõik ei ole standardsed tulemid, seega valige hindamise ajal vajalikud.
CSV / 01
Andmete inventuur
Väljad, eesmärk, tundlikkus, asukoht, omanik.
Laadi alla CSV / 02Andmevoo register
Allikas, sihtkoht, eesmärk, meetod, alltöötleja.
Laadi alla CSV / 03Ligipääsumaatriks
Roll, keskkond, toiming, kinnitus, ülevaatus.
Laadi alla CSV / 04Väliste teenuste register
Teenus, eesmärk, andmed, asukoht, leping.
Laadi alla CSV / 05Säilitamise ja kustutamise register
Põhjus, tähtaeg, kustutamisviis, tõendus, erand.
Laadi alla CSV / 06Intsidendi kontaktleht
Sündmuse klass, esmane kontakt, varuplaan, otsuse omanik.
Laadi alla CSV / 07Varukoopiast taastamise test
Siht, taastepunkt, kulunud aeg, tulemus, probleem.
Laadi alla CSV / 08Nõuete kontroll-loend
Disain, teostus, testimine, käitamine, lõpetamise käsitlus.
Laadi alla CSV / 09AI ja väliste teenuste otsustustabel
Eesmärk, saadetud väljad, säilitamine, kinnitus, peatamise kord.
Laadi allaPäring
Aruta küsimustikke Toeta kliendi küsimustikke
Vastame kliendi turbeküsimustikele pärast tegelike praktikate ja projekti ulatuse kinnitamist. Veel rakendamata punktid märgitakse sellisena ning alternatiivid eraldatakse.
Viited
Viited ja mida me ei väida.
Kasutame projekti kontrollide valikul seadusi, avalikke juhiseid ja avatud standardeid viidetena. Neile viitamine ei tähenda sertifikaadi ega täieliku vastavuse väidet.
Jaapani isikuandmete kaitse seadus ja PPC juhised
Kasutatakse ohutusjuhtimise meetmete, käsitlusreeglite, organisatsiooniliste, inimlike, füüsiliste ja tehniliste meetmete ning väliskeskkondade kontrollimise alusena.
Ava ametlik allikasNIST Cybersecurity Framework 2.0
Kuus funktsiooni on ühine keel riskide ja käituslünkade jaoks.
Ava ametlik allikasOWASP ASVS 5.0
Kasutatakse viitena veebi- ja rakendusturbe nõuete ning verifitseerimispunktide korrastamisel.
Ava ametlik allikasSee leht üksi ei tähenda järgmist.
ISO/IEC 27001 sertifikaatPrivacyMarki sertifikaatTäielik NIST CSF vastavusOWASP ASVS sertifikaatIntsidentide puudumise garantiiSamad kontrollid igale projektileKKK
Levinud küsimused andmete käsitlemise kohta.
Kas diagnoos või prototüübid vajavad tootmisandmeid?
Põhimõtteliselt kontrollime esmalt, kas valideerimiseks saab kasutada minimeeritud anonüümitud või pseudonüümitud näidiseid. Kui pärisandmed on vajalikud, lepitakse ulatus, säilitamine, vaatajad ja kustutamise ajastus ette kokku.
Kas saadate andmeid välisesse generatiivsesse AI-sse?
Välise AI kasutus, saadetavad andmed, eesmärk ja säilitamine otsustatakse projektipõhiselt. Valida saab ka seadistuse, mis ei saada äriandmeid välisesse AI-sse.
Kas säilitamise riiki või piirkonda saab valida?
Kontrollime asukohanõudeid kasutatava pilve või väliste teenuste võimaluste piires. Kui piiriülene edastus on oluline, tehakse teenused ja andmevood selgeks.
Mis saab andmetest ja lähtekoodist pärast üleandmist?
Omandi, säilitamise, ligipääsu, varunduse ja kustutamise vastutus selgitatakse lepingu, käitusmudeli ja hooldusulatuse järgi.
Kas teil on turbesertifikaat?
See leht ei väida konkreetse sertifikaadi olemasolu. Kontrollid ja ülevaatusartefaktid määratakse projektipõhiselt ning kliendi kontroll-lehtedele saab vajaduse korral vastata.
Millal intsidentidest teavitatakse?
Kontaktid, sündmuse ulatus, esmase teate viis ja uuendamise sagedus otsustatakse enne tootmiskäitust. Tegelikud teated järgivad seadust, lepingut ja sündmuse üksikasju.
Kas saate käsitleda meditsiini-, hooldus- või muid tundlikke andmeid?
Vajadus, õigusnõuded, ligipääsu ulatus, säilitamine, logid, kustutamine ja alltöötlejad tuleb kontrollida. Vajalik on rangem disain ja teostatavus otsustatakse projektipõhiselt.
Kas saame tellida turbetesti või haavatavuse hindamise?
Sihtmärgi ja vajaliku taseme järgi saab kombineerida disainiülevaatust, automaatseid kontrolle, käsitsi kontrolle ja väliseid spetsialiste. Ulatus ja tulemid määratakse hindamise ajal.
Järgmine samm
Esmalt eralda jagatavad andmed andmetest, mis peavad välja jääma.
Enne terve töövihiku saatmist võite alustada veerunimedest või anonüümitud näidistest. Korrastame vajalikud kontrollid ja arendusulatuse koos.
Alusta diagnoosi Aruta andmete käsitlemist Palun kinnitage edastusviis enne konfidentsiaalse teabe saatmist.