Taka aðeins við nauðsynlegum gögnum
Við athugum fyrst hvort hægt sé að fjarlægja nöfn, heimilisföng, tengiliðaupplýsingar, frjálsan texta og heil gagnasöfn. Lítil nafnlaus sýnigögn eru æskileg áður en mikið gagnamagn er sent.
Öryggi og meðferð gagna
Meðhöndlið trúnaðargögn
án tvíræðni.
Við skilgreinum hvaða gögn eru meðhöndluð, í hvaða tilgangi, af hverjum, í hvaða umhverfi og hversu lengi. Frá stærðfræðilegum frumgerðum til framleiðslureksturs eru mörk og ábyrgð fyrst samþykkt og síðan varðveitt sem rýnanleg sönnunargögn.
GAGNASTÝRINGARFLÖTURVERKEFNI / 001
01ViðskiptavinurUpprunagögn og viðskiptareglur
Nauðsynlegt lágmark
02FINITE FIELDHönnun, þróun, staðfesting
Samþykkt umfang
03Notaðar þjónusturSký og ytri samþættingar
TilgangurSkilgreint fyrirfram
AðgangurTakmarkað við nauðsynlega aðila
GeymslaStaðsetning og tímabil samþykkt
EyðingAðferð og sönnun ákveðin
HANNA FYRIR FLUTNINGMóttaka eftir að mörk eru sett
Afstaða okkar
Við birtum ákvörðunarefni, ekki óljósa hughreystingu.
Öryggi ræðst ekki af vöruheiti eða einum eiginleika. Við hönnum út frá gagnagerð, tilgangi, skipulagi, rekstri og undirvinnsluaðilum og höldum innleiddu umfangi rýnanlegu.
Skilgreina mörk fyrir flutning
Geymslustaður, aðilar með aðgang, ytri þjónustur, notkun gervigreindar, varðveisla og eyðing eru samþykkt áður en gögn berast eða farið er í framleiðslu.
Skilja eftir rýnanleg gögn
Gagnaflæði, aðgangsréttindi, undirvinnsluaðilar, öryggisafrit, eyðing og atvikatengiliðir eru varðveitt sem gögn sem hægt er að skoða.
Það sem við birtumStefnu, hönnunaratriði og rýnanleg gögn
Það sem hvert verkefni ákveðurTilteknar þjónustur, heimildir, varðveislu og prófunarumfang
Það sem við birtum ekkiLeyndarmál eða nákvæmar stillingar sem gætu hjálpað árásaraðila
Gagnaferli
Ákveðið hvert stig frá móttöku til eyðingar.
Sömu gögn þurfa ólíkar stýringar í greiningu, frumgerðum og framleiðslurekstri. Við aðgreinum hvað er móttekið, hvað þarf að ákveða og hvaða sönnunargögn verða eftir.
MÓTTAKA
Byrjið með skýringarefni og nafnlausum sýnigögnum.
Lágt gagnamagn æskilegtDæmi sem berast
- Dálkar í núverandi töflureikni
- Nokkrar tilbúnar eða nafnlausar línur
- Viðskiptareglur og vandamál
- Mælikvarðar til úrbóta
Ákveða fyrirfram
- Hvort raunveruleg nöfn séu nauðsynleg
- Hvernig viðhengi eru send
- Hver sinnir ráðgjöfinni
- Varðveisla eftir ráðgjöf
Varðveitt gögn
- Listi yfir móttekin gögn
- Tilgangsminnisblað
- Áætlaður eyðingardagur
- Opin atriði
FRUMGERÐ
Lágmarksgögn til að prófa hvort hægt sé að leysa vandann.
Hanna aðskilda staðfestinguDæmi sem berast
- Auðkenni starfsfólks, mála eða búnaðar
- Tími, hæfni, afkastageta og röð
- Núverandi áætlun og mælikvarðar
- Dæmi um undantekningar
Ákveða fyrirfram
- Dulnefningaraðferð
- Staðfestingarumhverfi og aðgangur
- Notkun ytri gervigreindar
- Eyðing eða áframhaldandi notkun eftir afhendingu
Varðveitt gögn
- Gagnaorðabók
- Skilyrðalisti
- Umhverfis- og aðgangstafla
- Skrá um lok staðfestingar
ÞRÓUN
Festið hlutverk og mörk fyrir framleiðslugögn.
Hönnunarrýni nauðsynlegDæmi sem berast
- Gagnaskipan sem samsvarar framleiðslu
- Notendur, heimildir og skipulagsgögn
- Forskriftir ytri samþættinga
- Kröfur um úttekt og öryggisafrit
Ákveða fyrirfram
- Aðskilnaður umhverfa og leyndarmál
- Lágmarksheimildir og auðkenning
- Umfang og varðveisla atburðaskráa
- Umfang prófana og rýni
Varðveitt gögn
- Gagnaflæðirit
- Aðgangsfylki
- Listi yfir ytri þjónustur
- Rýniskrá fyrir útgáfu
REKSTUR
Undirbúið greiningu, viðbrögð og endurheimt, ekki aðeins vernd.
Stöðugur rekstur nauðsynlegurDæmi sem berast
- Reikningar og heimildir
- Atburðaskrár og viðvaranir
- Öryggisafrit
- Háðir þættir og uppfærslur
Ákveða fyrirfram
- Vöktunar- og viðbragðstímar
- Breytinga- og aðgangsrýni
- Endurheimtarmarkmið
- Tengiliðaleið fyrir atvik
Varðveitt gögn
- Rekstrarferli
- Skrá um prófun öryggisafrita
- Skrá um aðgangsrýni
- Atvika- og breytingasaga
EYÐING
Ákveðið meðferðina jafnvel eftir að verkefninu lýkur.
Staðfesta eyðingarumfangDæmi sem berast
- Vinnueintök
- Sameiginleg geymsla
- Öryggisafrit
- Atburðaskrár, beiðnir og viðhengi
Ákveða fyrirfram
- Skil eða eyðing
- Lögbundin og samningsbundin varðveisla
- Tímasetning eyðingar öryggisafrita
- Snið sönnunargagna
Varðveitt gögn
- Listi yfir eyðingarmarkmið
- Eyðingardagur
- Undantekningar og ástæða eftirstöðva
- Staðfesting á lokum
Öryggissniðsgerð
Skipuleggið verkefnissértæk hönnunardrög á um tveimur mínútum.
Þetta er hönnunarhjálp fyrir fyrsta fund, ekki úttekt eða trygging. Engar tengiliðaupplýsingar eru nauðsynlegar.
Skref 01 / Gagnaflokkur
Veljið gögn sem gætu verið meðhöndluð
Drögin byggjast á þeim flokki sem þarf varfærnustu meðhöndlun. Hægt er að velja fleiri en einn flokk.
Skref 02 / Afhendingarstig
Hvaða stig eruð þið að skoða?
Stutt staðfesting og framleiðslurekstur krefjast ólíkra stýringa, jafnvel fyrir sömu gögn.
Skref 03 / Ytri vinnsla
Ytri gervigreind og þjónustur
Ský, póstur, kort, greining og tilkynningaþjónustur eru rýndar með sömu gagnaflæðishugsun.
Skref 04 / Rekstrarþarfir
Veljið nauðsynlegar rekstrarþarfir
Hægt er að velja fleiri en eitt atriði. Óviss atriði eru líka tekin með sem umræðuefni á fundi.
Hönnunardrög / ekki úttekt
Takmörkuð frumgerðahönnun
Byrjið með lágmarksgögn, stutta varðveislu og aðskilið staðfestingarumhverfi.
SniðSTAÐLAÐP0-B
Lágmarksstýringar
Verkefnaákvarðanir
Gögn sem þarf að undirbúa
Hvernig á að lesa niðurstöðuna:
Þetta eru bráðabirgðadrög byggð á völdum inntökum. Endanlegar stýringar eru ákveðnar eftir að lagaskyldur, samningsskilmálar, ógnir, skýjaarkitektúr og rekstur hafa verið staðfest.
Stýrilíkan
Fjallið líka um greiningu, viðbrögð og endurheimt, ekki aðeins forvarnir.
Við notum sex hlutverk NIST Cybersecurity Framework 2.0 sem sjónarhorn í verkefnarýni. Þetta er ekki vottun né fullyrðing um fullt samræmi.
Stýra
Skýrið eigendur, stefnu, samninga, undirvinnsluaðila og ásættanlega áhættu.
Dæmi: ábyrgðartafla, þjónustulistiGreina
Skiljið eignir, gögn, háða þætti, ógnir og áhrif.
Dæmi: gagnaflæði, eignaskráVernda
Hannið auðkenningu, lágmarksheimildir, dulkóðun, leyndarmál og örugga innleiðingu.
Dæmi: heimildafylki, innleiðingarskoðunGreina
Skilgreinið nauðsynlegar atburðaskrár, vöktun, viðvaranir og fráviksviðmið.
Dæmi: vöktunaratriði, varðveisla atburðaskráaBregðast við
Undirbúið forgangsröðun, afmörkun, rannsókn, samskipti og forvarnir.
Dæmi: tengiliðatré, fyrsta viðbragðsferliEndurheimta
Hannið heilleika öryggisafrita, endurheimtarröð, endurræsingu rekstrar og eftirfylgnirýni.
Dæmi: endurheimtarhandbók, prófunarskráÖryggi forrita
Fyrir vefi og forrit er öryggi skoðað frá hönnun til reksturs.
Við notum OWASP ASVS 5.0 sem viðmið fyrir öryggiskröfur og staðfestingaratriði. Rýni, sjálfvirkar athuganir, handvirkar athuganir og ytri prófanir eru sameinaðar eftir mikilvægi og fjárhagsramma.
- 01Kröfur og ógnirSkipuleggja gögn, heimildir og árásarfleti
- 02InnleiðingAuðkenning, inntak, leyndarmál, háðir pakkar
- 03StaðfestingRýni, prófanir, stillingaskoðun
- 04ReksturVöktun, uppfærslur, heimildir, endurheimt
Frumgerð á móti framleiðslu
Við meðhöndlum ekki frumgerðir og framleiðslu eins.
Þessi samanburður sýnir hönnunarviðmið sem þarf að festa fyrir hvert verkefni, ekki fastar tryggingar.
| Rýniatriði | P0 stærðfræðileg frumgerð | P1 framleiðslukerfi |
|---|---|---|
| Tilgangur | Staðfesta framkvæmanleika og mælikvarða | Samfelld vinnsla í rekstri |
| Gagnamagn | Æskilegt er lítið, nafnlaust gagnasafn með nauðsynlegum reitum | Skilgreina formlega nauðsynlegt rekstrarumfang |
| Umhverfi | Aðskilja skammtíma staðfestingarumhverfi | Meta aðskilnað þróunar, prófana og framleiðslu |
| Aðgangur | Takmarka við úthlutaða aðila | Hlutverkaheimildir, auðkenning, rýni |
| Ytri gervigreind | Byrja á hönnun sem sendir ekki óþarfa gögn | Samþykkja tilgang, markgögn, samning, stillingar og atburðaskrár |
| Varðveisla | Ákveða lokadag fyrst | Meta tilgang, lög, rekstur og öryggisafrit |
| Eyðing | Staðfesta eyðingu eða áframhaldandi notkun eftir afhendingu | Hanna lokun reikninga, samningslok, lögbundna varðveislu og öryggisafrit |
| Endurheimt | Meta hvort hægt sé að endurgera niðurstöðuna | Setja endurheimtarmarkmið og prófa öryggisafrit |
Sameiginleg ábyrgð
Aðgreinið hver verndar hvað fyrir samning.
Skýjanotkun gerir ekki allt sjálfkrafa öruggt og þróunaraðili getur ekki stýrt allri áhættu einn. Við aðgreinum hlutverk viðskiptavinar, Finite Field og notaðra þjónusta.
UMFANG OKKAR
Hönnun, innleiðing og þróunarrekstur
Innan samningsbundins umfangs sjáum við um kerfisstýringar og meðferð gagna á þróunartíma.
- Hönnun gagnaflæðis og heimilda
- Örugg innleiðing forrita
- Stjórnun leyndarmála og þróunarumhverfis
- Samþykktar prófanir og rýni
- Vöktun, uppfærslur og viðbrögð innan viðhaldssviðs
UMFANG VIÐSKIPTAVINAR
Ábyrgð á rekstri, notendum og gögnum
Lögmæt notkun gagna, rekstur notenda og endabúnaðar og innri reglur eru áfram mikilvæg ábyrgð viðskiptavinar.
- Tilgangur og gildi inntaksgagna
- Skráning notenda, starfslok og heimildabeiðnir
- Endabúnaður, innra net og deilingaraðferð
- Tilkynning grunsamlegra atvika og rekstrarákvarðanir
- Fyrirmæli um skil eða eyðingu við samningslok
UMFANG VETTVANGS
Það sem vettvangsþjónustur ná yfir
Líkamleg aðstaða, vettvangsþjónustur og umfang stýrðrar þjónustu fylgja samningi hverrar þjónustu og líkani um sameiginlega ábyrgð.
- Gagnaver og innviðir
- Aðgengi þjónustu og uppfærslur
- Aðgangur að vettvangi og dulkóðunareiginleikar
- Samningsbundin skilyrði um geymslu og vinnslu
- Atvika- og öryggisupplýsingar þjónustu
Atriði sem þarf að gera skýr í samningiRekstraraðiliVöktunartímarÖryggisafritEndurheimtarvinnaFyrirspurnirMeðferð við lok notkunar
Gervigreind og þriðju aðilar
Ekki láta ytri gervigreind verða ósýnilegan undirvinnsluaðila.
Þegar gögn fara til skapandi gervigreindar, korta, pósts, greiningar, tilkynninga, greiðsluþjónustu eða annarra þjónusta eru tilgangur og umfang hluti af gagnaflæðinu.
Ekki senda
Ekki senda viðskiptagögn til ytri gervigreindar. Notið venjuleg reiknirit, staðbundna vinnslu eða föst nafnlaus gögn.
Fyrsti kostur til skoðunarSenda takmörkuð gögn
Sendið aðeins samþykkta reiti til samþykktra þjónusta eftir að auðkenni hafa verið fjarlægð. Athugið hvort hægt sé að skrá sendingarnar.
Krefst nafnleyndar og lágmörkunarSenda innan samþykkts ramma
Staðfestið þjónustuskilmála, varðveislutíma, svæði, skilyrði fyrir endurnotkun og heimildir og skráið síðan hvaða gögn eiga við.
Krefst sérstaks áhættumatsATHUGUN Á YTRI ÞJÓNUSTU
Hvað á að staðfesta fyrir hverja ytri þjónustu
- 01Gögn sem eru sendReitir, tíðni, magn
- 02TilgangurVinnsla, tilkynningar, greining
- 03Varðveisla og endurnotkunGeymsla, þjálfun, atburðaskrár
- 04Staðsetning og undirvinnsluaðilarLand, svæði, birgjakeðja
- 05Stöðvun og eyðingMeðferð við lok notkunar
Viðbrögð við atvikum
Skipuleggja hvað gerist ef atvik kemur upp.
Fyrir framleiðslurekstur þarf að skilgreina umfang atvika, tengiliði, fyrstu tilkynningu, afmörkun, endurheimt og forvarnarábyrgð.
Greina og móttaka
Greina atvik úr vöktun, notendatengiliðum eða þjónustutilkynningum.
Afmarka
Draga úr útbreiðslu og varðveita nauðsynleg sönnunargögn.
Greina og ákveða
Staðfesta gögn sem urðu fyrir áhrifum, orsök, áhrif og tilkynningarþörf.
Samskipti og viðbrögð
Hafa samband við hagsmunaaðila samkvæmt lögum, samningi og aðstæðum.
Endurheimta og bæta
Endurheimta eftir að öryggi er staðfest og beita forvörnum.
Fyrir framleiðsluNeyðartengiliður
Fyrir framleiðsluUmfang atviks
Fyrir framleiðsluFyrsta tilkynningarleið
VerkefnishönnunVöktunar- og viðbragðstímar
Lög og samningurTilkynningar og skýrslugjöf
Sönnunargagnapakki
Gerið innleidda vinnu rýnanlega.
Eftir mikilvægi og samningsumfangi er hægt að búa þessi gögn til eða uppfæra þau. Þau eru ekki öll staðlaðar afurðir, svo velja þarf það sem þarf við áætlunargerð.
CSV / 01
Gagnaskrá
Reitir, tilgangur, viðkvæmni, staðsetning, eigandi.
Sækja CSV / 02Gagnaflæðisskrá
Uppruni, áfangastaður, tilgangur, aðferð, undirvinnsluaðili.
Sækja CSV / 03Aðgangsfylki
Hlutverk, umhverfi, aðgerð, samþykki, rýni.
Sækja CSV / 04Skrá yfir ytri þjónustu
Þjónusta, tilgangur, gögn, staðsetning, samningur.
Sækja CSV / 05Varðveislu- og eyðingarskrá
Ástæða, frestur, eyðingaraðferð, sönnun, undantekning.
Sækja CSV / 06Tengiliðaskrá fyrir atvik
Atvikaflokkur, aðaltengiliður, varaleið, ákvörðunareigandi.
Sækja CSV / 07Próf á endurheimt úr öryggisafriti
Markmið, endurheimtarpunktur, liðinn tími, niðurstaða, vandamál.
Sækja CSV / 08Gátlisti krafna
Hönnun, innleiðing, prófanir, rekstur, lokameðferð.
Sækja CSV / 09Ákvörðunartafla fyrir gervigreind og ytri þjónustu
Tilgangur, sendir reitir, varðveisla, samþykki, stöðvunarferli.
SækjaBeiðni
Ræða spurningalista Stuðningur við spurningalista viðskiptavina
Við svörum öryggisgátlistum viðskiptavina eftir að raunveruleg vinnubrögð og verkefnaumfang hafa verið staðfest. Atriði sem ekki eru innleidd eru merkt sem slík og valkostir aðgreindir.
Viðmið
Viðmið og það sem við fullyrðum ekki.
Við notum lög, opinberar leiðbeiningar og opna staðla sem viðmið við val á stýringum fyrir verkefni. Að vísa í þau er annað en að fullyrða um vottun eða fullt samræmi.
Japönsk persónuverndarlög og leiðbeiningar PPC
Notað sem grunnur til að skoða öryggisstjórnunarráðstafanir, meðferðarreglur, skipulagslegar, mannlegar, líkamlegar og tæknilegar ráðstafanir og ytri umhverfi.
Opna opinbera heimildNIST Cybersecurity Framework 2.0
Sex hlutverkin eru notuð sem sameiginlegt orðfæri fyrir áhættu og rekstrargöt.
Opna opinbera heimildOWASP ASVS 5.0
Notað sem viðmið þegar öryggiskröfur og staðfestingaratriði fyrir vefi og forrit eru skipulögð.
Opna opinbera heimildÞessi síða ein og sér þýðir ekki eftirfarandi.
ISO/IEC 27001 vottunPrivacyMark vottunFullt samræmi við NIST CSFOWASP ASVS vottunTrygging fyrir engum atvikumSömu stýringar í öllum verkefnumAlgengar spurningar
Algengar spurningar um meðferð gagna.
Þarf greining eða frumgerð framleiðslugögn?
Að jafnaði athugum við fyrst hvort staðfesting geti notað lágmörkuð nafnlaus eða dulnefnd sýnigögn. Ef raunveruleg gögn eru nauðsynleg er umfang, geymsla, aðgangur og eyðingartími samþykkt fyrirfram.
Sendið þið gögn til ytri skapandi gervigreindar?
Notkun ytri gervigreindar, send gögn, tilgangur og varðveisla eru ákveðin fyrir hvert verkefni. Einnig er hægt að velja uppsetningu sem sendir engin viðskiptagögn til ytri gervigreindar.
Er hægt að velja geymsluland eða svæði?
Við skoðum staðsetningarkröfur innan möguleika þeirrar skýja- eða ytri þjónustu sem er notuð. Þegar flutningur yfir landamæri skiptir máli eru þjónustur og gagnaflæði skráð skýrt.
Hvað verður um gögn og frumkóða eftir afhendingu?
Ábyrgð á eignarhaldi, geymslu, aðgangi, öryggisafritum og eyðingu er skýrð eftir samningi, rekstrarlíkani og viðhaldssviði.
Hafið þið öryggisvottun?
Þessi síða fullyrðir ekki um tiltekna vottun. Stýringar og rýnisgögn eru skilgreind fyrir hvert verkefni og hægt er að svara gátlistum viðskiptavina þegar þess þarf.
Hvenær er tilkynnt um atvik?
Tengiliðir, umfang atvika, fyrsta tilkynningarleið og tíðni uppfærslna eru ákveðin fyrir framleiðslurekstur. Raunverulegar tilkynningar fylgja lögum, samningi og atvikalýsingu.
Getið þið meðhöndlað heilbrigðis-, umönnunar- eða önnur viðkvæm gögn?
Skoða þarf nauðsyn, lagakröfur, aðgangssvið, geymslu, atburðaskrár, eyðingu og undirvinnsluaðila. Strangari hönnun er nauðsynleg og framkvæmanleiki er metinn fyrir hvert verkefni.
Getum við beðið um öryggisprófun eða veikleikamat?
Eftir markmiði og kröfunum má sameina hönnunarrýni, sjálfvirkar athuganir, handvirkar athuganir og ytri sérfræðinga. Umfang og afurðir eru skilgreind við áætlunargerð.
Næsta skref
Aðgreinið fyrst gögn sem má deila frá gögnum sem eiga ekki að fara út.
Áður en heil vinnubók er send er hægt að byrja á dálkaheitum eða nafnlausum sýnigögnum. Við skýrum nauðsynlegar stýringar og þróunarumfang saman.
Hefja greiningu Ræða meðferð gagna Staðfestið sendingaraðferð áður en trúnaðarupplýsingar eru sendar.