Sicherheit, Compliance und Datenresidenz
Die vom Kunden selbst aktivierten Kontrollmechanismen, Verschlüsselung und Schlüssel, Patch-Ziele nach CVSS, Sicherheitsvorfälle und Meldung von Sicherheitsverletzungen, Penetrationstests durch den Kunden, ASK-Governance-Entscheidungen, Wohnsitz und die Nachweise, die ein Kunde anfordern kann.
Drei Verteidigungsschichten
| Verhindern | Erkennen | Richtig |
|---|---|---|
| Netzwerkisolation und WAF; ausschließlich HTTPS-Zugriff; private Datenbank | Zentralisierte Protokollierung – Anwendung, Audit, Cloud | Air-Gap-Backups; unveränderlicher Tresor; Wiederherstellung im Reinraum |
| Verschlüsselung ruhender und übertragener Daten | Schwachstellenscan – Images, Abhängigkeiten, Cloud-Konfiguration | Ablaufpläne für die Reaktion auf Vorfälle und Eskalation |
| Granulare rollenbasierte Zugriffskontrolle (RBAC), Single Sign-On (SSO), Multi-Faktor-Authentifizierung (MFA), Prinzip der minimalen Berechtigungen | Laufzeit-Bedrohungserkennung | Live DR – eine zweite, laufende Region mit automatischem Failover |
| Gehärtete Images; Schwachstellen- und Patch-Management |
Steuert die Kundenschalter
Die meisten Kontrollen sind gemäß NIST CSF in TRANXACT integriert oder stammen aus den nativen Diensten des Cloud-Anbieters. Vier Kontrollen sind optional oder kundenseitig und müssen explizit genannt werden, da sie sonst niemand implementiert:
| Kontrolle | Funktion | WHO |
|---|---|---|
| Datenklassifizierung | Identifizieren | Der Kunde klassifiziert personenbezogene und regulierte Daten (INFRA_2.5.04 für Aufbewahrung und rechtliche Aufbewahrung). |
| SSO und MFA über den IdP | Schützen | Der Kunde verwaltet die Konten und die MFA-Richtlinie in seinem IdP (PLAT_5.6.02); TRANXACT richtet die Föderation ein (PLAT_5.6.01). |
| Kundenverwaltete Schlüssel | Schützen | Optional (TO_4.5.10); der Kunde führt den Schlüssellebenszyklus durch (TO_4.5.11) |
| SIEM-Integration | Erkennen | Der Protokollexport ist optional (TO_4.6.02); der Betrieb des SIEM obliegt dem Kunden (TO_4.6.03). |
Verschlüsselung und Schlüssel
| Was | Wie |
|---|---|
| Daten werden übertragen | TLS 1.2+ |
| Datenbank im Ruhezustand | AES-256 |
| Objektspeicherung und Datensicherungen | AES-256 |
| Geheimnisse | Ein verwalteter Geheimnisladen |
| KI-Schlüssel | Der Schlüssel des Tier-Providers oder BYOK |
| Zertifikate | Eine öffentliche Zertifizierungsstelle für den FQDN |
- Standard: Cloud-KMS-Schlüssel werden von TRANXACT verwaltet, mit definierter Rotation und Vernichtung; kein Lesezugriff des Bedieners auf die Schlüssel; Schlüsselzugriff wird protokolliert; Vault-Backup-Schlüssel werden separat aufbewahrt (TO_4.11.02).
- Optional: vom Kunden verwaltete Schlüssel im KMS des Kunden, vom Kunden bereitgestellte Zertifikate, BYOK für die ASK-Engine.
Bei kundenverwalteten Schlüsseln führt der Entzug des Schlüssels dazu, dass TRANXACT nicht mehr verfügbar ist. Rotations- und Notfallverfahren müssen vor der Schlüsselverwendung gemeinsam vereinbart werden.
Patching nach Schweregrad (vorgeschlagene Standardeinstellung)
| Schweregrad (CVSS) | Sanierungsziel | Kundenmitteilung |
|---|---|---|
| Kritisch (9,0–10) | Notfallpfad, sobald eine getestete Lösung existiert | Sofort, falls Ausfallzeiten erforderlich sind |
| Hoch (7,0–8,9) | Nächstes Wartungsfenster | Versionshinweise |
| Mittel (4,0–6,9) | Innerhalb von 30 Tagen | Versionshinweise |
| Niedrig (unter 4,0) | Nächste geplante Veröffentlichung | Versionshinweise |
Vier Phasen: Bewertung und Klassifizierung; Test und Verifizierung in einer Nicht-Produktionsumgebung anhand einer Produktionskopie; Bereitstellung per Rolling Update nach der Abkühlphase unter Überwachung von Integritäts- und Ledger-Prüfungen; Reaktion und Behebung von Problemen. Kunden mit eigenen Änderungsmanagementsystemen sollten die Benachrichtigungsfrist und die Korrekturen, die diese umgehen können, vereinbaren.
Sicherheitsvorfälle und Datenschutzverletzungen
Kontrollieren → Melden → Deklarieren → Beheben → Lernen: Eindämmen und isolieren; Protokollierung und Alarmierung der Sicherheitsabteilung und des Pilotprojekts für autonome Operationen; Klassifizierung und Eröffnung eines Sicherheitsvorfalls; Beseitigung, Wiederherstellung eines sauberen Zustands und Überprüfung des Protokolls; Überprüfung der Ursache und Aktualisierung von Kontrollen und Betriebshandbüchern.
| TRANXACT — Prozessor (TO_4.5.06) | Kunde — Controller (TO_4.5.07) |
|---|---|
| Bestätigt eine Datenschutzverletzung, die personenbezogene Daten von Kunden betrifft | Bewertet das Risiko für die betroffenen Personen |
| Benachrichtigt den Kunden unverzüglich gemäß der Datenschutzvereinbarung. | Benachrichtigt gegebenenfalls die Aufsichtsbehörde. |
| Teilt die bekannten Fakten, die wahrscheinlichen Auswirkungen und die ergriffenen Maßnahmen mit. | Informiert gegebenenfalls die betroffenen Personen über die Datenverarbeitung. |
| Liefert regelmäßige Updates zum Ermittlungsfortschritt. | Dokumentiert den Verstoß in seinem eigenen Register |
Die Benachrichtigungskontakte, den Kanal und den Zeitplan in der Datenschutzvereinbarung festlegen und den Kommunikationsplan mit dem Datenschutzbeauftragten des Kunden durchgehen.
Der Penetrationstest des Kunden
- Unterzeichnen Sie eine Geheimhaltungsvereinbarung.
- Bitte beantragen Sie dies mindestens 2 Wochen im Voraus (TO_4.5.08, Zusatzleistung).
- Den Umfang festlegen.
- Zuerst die Nicht-Produktionsumgebung testen – die Daten werden aus der Produktionsumgebung aktualisiert und maskiert. Für Tests in der Produktionsumgebung ist eine explizite Genehmigung von TRANXACT und ein festgelegtes Testfenster erforderlich.
- Teilen Sie die Ergebnisse mit.
- Gemeinsame Behebung: Die Ergebnisse der Plattform entsprechen dem Standard (TO_4.5.09); die Ergebnisse in der Konfiguration des Kunden gehen auf dessen Kappe.
| Im Geltungsbereich | Außerhalb des Geltungsbereichs |
|---|---|
| Anwendungstests über den FQDN des Kunden | Denial-of-Service- und Überlastungsangriffe |
| Authentifizierung, Autorisierung und Rollendesign | Cloud-Anbieter-Infrastruktur |
| APIs, die von den Integrationen des Kunden verwendet werden | Andere Mandanten, das Tresorkonto und gemeinsam genutzte Tools |
| Kundenseitige Netzwerkpfade (VPN, private Verbindung) | Soziale Manipulation der TRANXACT-Mitarbeiter |
ASK-Governance-Entscheidungen
ASK agiert über die APIs von TRANXACT mit der Benutzersitzung, sodass jede Posting-Regel, Rollenberechtigung und jeder Audit-Log-Eintrag so angewendet wird, als hätte der Benutzer selbst geklickt. Die Details werden kundenindividuell festgelegt.
| Entscheidung | Kategorie | R&R |
|---|---|---|
| Motorenstufe (Premium, Ausgewogen, Wirtschaftlich) und Verarbeitungsregion | Standard, Serviceanfrage | ASK_6.1.02 |
| Verbinden Sie einen vom Kunden bereitgestellten KI-Schlüssel (BYOK). | Standard, Serviceanfrage | ASK_6.1.03 |
| BYOK-Schlüssel bereitstellen und regelmäßig wechseln; Vertrag mit dem KI-Anbieter aufbewahren. | Ausgeschlossen | ASK_6.1.04 |
| Welche Rollen dürfen ASK nutzen? Nutzungsbudgets und Benachrichtigungen; monatliche Erinnerungs- und Nutzungsüberprüfung; Einführungssitzungen | Paketiert — G1 ASK Nutzungssteuerung | ASK_6.2.01 – 6.2.03, 6.2.07 |
| Jede ASK-Aktion im Prüfprotokoll | Standard | ASK_6.2.04 |
| Die interne KI-Nutzungsrichtlinie des Kunden | Ausgeschlossen | ASK_6.2.05 |
Datenresidenz
- Im Hauptbereich werden das Hauptbuch und die Dokumente aufbewahrt.
- Die Live DR Region und der Tresor befinden sich in derselben Rechtsordnung, wo dies gesetzlich vorgeschrieben ist.
- ASK: Wo Eingabeaufforderungen und Antworten verarbeitet werden — BYOK, wenn der Kunde einen eigenen KI-Vertrag vorschreibt.
- Sprachen, Rechtseinheiten, Währungen und lokale gesetzliche Anforderungen pro juristischer Person.
- Sektorregeln: Gesundheitsdaten (EHR), Schülerdaten, Gehalts- und Steuerdaten.
- Grenzüberschreitende Datentransfers sind durch das Datenschutzgesetz abgedeckt.
Prüfen Sie die Anforderungen an regulierte Daten, bevor Sie Regionen auswählen. Die Übertragung eines laufenden Geschäftsbuchs zwischen Regionen ist ein Migrationsprojekt.
Nachweise und Zertifizierungen
- Auf Anfrage: das Sicherheits-Whitepaper und die Kontrollbeschreibungen, Zusammenfassungen von Penetrationstests, Berichte über Switchover-Übungen und Clean-Room-Wiederherstellungen, Verfügbarkeits- und Backup-Statusberichte, die Liste der Unterprozessoren und DPA TOMs (TO_4.5.12).
- Der Sicherheitsfragebogen des Kunden, der einmal pro Vertragsjahr beantwortet wird (TO_4.5.13).
- Auditrechte gemäß der Datenschutzvereinbarung; Penetrationstests des Kunden gemäß dem vereinbarten Verfahren; Protokollexport in sein SIEM-System.
Nennen Sie ausschließlich Zertifizierungen und Bescheinigungen – ISO/IEC 27001, SOC 2 Typ II, Branchenrahmen –, deren aktueller Geltungsbereich die Cloud und Region des Kunden abdeckt. Klären Sie dies vor Angebotserstellung mit TRANXACT Compliance ab.
Die als Standardvorschlag gekennzeichneten Werte sind die im Bereitstellungsleitfaden empfohlenen Ausgangspunkte. Bitte bestätigen Sie jeden Wert für jeden Kunden einzeln. Vertrag, Bestellformular, SLA und DPA haben Vorrang vor den Angaben auf dieser Seite.
Machen Sie dazu den Kurs, mit Diagrammen und einer Überprüfung.