सुरक्षा, अनुपालन आणि डेटा रेसिडेन्सी
ग्राहक स्वतः चालू करत असलेली नियंत्रणे, एनक्रिप्शन आणि कीज, CVSS नुसार पॅच टार्गेट्स, सुरक्षा घटना आणि उल्लंघनाची सूचना, ग्राहक पेनिट्रेशन टेस्टिंग, ASK गव्हर्नन्सचे निर्णय, रेसिडेन्सी, आणि ग्राहक मागू शकणारे पुरावे.
संरक्षणाचे तीन स्तर
| प्रतिबंध करा | शोध | बरोबर |
|---|---|---|
| नेटवर्क आयसोलेशन आणि WAF; केवळ HTTPS द्वारे प्रवेश; खाजगी डेटाबेस | केंद्रीकृत लॉगिंग — ॲप्लिकेशन, ऑडिट, क्लाउड | एअर-गॅप बॅकअप; इम्युटेबल व्हॉल्ट; क्लीन-रूम रिस्टोअर |
| स्थिर आणि संक्रमणीय अवस्थेतील एनक्रिप्शन | भेद्यता स्कॅनिंग — इमेजेस, डिपेंडन्सीज, क्लाउड कॉन्फिगरेशन | घटना प्रतिसाद रनबुक आणि एस्केलेशन |
| ग्रॅन्युलर आरबीएसी, एसएसओ, एमएफए, लीस्ट प्रिव्हिलेज | रनटाइम धोका शोध | Live DR — स्वयंचलित फेलओव्हरसह कार्यरत असलेला दुसरा प्रदेश |
| हार्डन्ड इमेजेस; भेद्यता आणि पॅच व्यवस्थापन |
ग्राहक स्विच चालू करतो
NIST CSF शी मॅप केलेली, बहुतेक नियंत्रणे TRANXACT मध्येच अंतर्भूत आहेत किंवा क्लाउड प्रोव्हायडरच्या मूळ सेवांमधून येतात. चार नियंत्रणे ऐच्छिक किंवा ग्राहकाच्या पसंतीची आहेत, आणि ती स्पष्टपणे सांगणे आवश्यक आहे कारण इतर कोणीही ती करणार नाही:
| नियंत्रण | कार्य | WHO |
|---|---|---|
| डेटा वर्गीकरण | ओळखा | ग्राहक वैयक्तिक आणि नियंत्रित डेटाचे वर्गीकरण करतो (INFRA_2.5.04 जतन आणि कायदेशीर धारणेसाठी) |
| ओळखपत्राद्वारे SSO आणि MFA | संरक्षण करा | ग्राहक त्याच्या IdP मध्ये खाती आणि MFA धोरण सांभाळतो (PLAT_5.6.02); TRANXACT फेडरेशन स्थापित करते (PLAT_5.6.01) |
| ग्राहक-व्यवस्थापित चाव्या | संरक्षण करा | वैकल्पिक (TO_4.5.10); ग्राहक की लाइफसायकल चालवतो (TO_4.5.11) |
| SIEM एकत्रीकरण | शोध | लॉग निर्यात करणे ऐच्छिक आहे (TO_4.6.02); SIEM चालवणे हे ग्राहकाचे आहे (TO_4.6.03) |
एन्क्रिप्शन आणि कीज
| काय | कसे |
|---|---|
| प्रवासातील डेटा | टीएलएस १.२+ |
| स्थिर डेटाबेस | एईएस-२५६ |
| ऑब्जेक्ट स्टोरेज आणि बॅकअप | एईएस-२५६ |
| रहस्ये | व्यवस्थापित गुप्तता भांडार |
| एआय कीज | टियर प्रोव्हायडरची की, किंवा BYOK |
| प्रमाणपत्रे | FQDN साठी एक सार्वजनिक CA |
- मानक: TRANXACT द्वारे व्यवस्थापित क्लाउड KMS की, परिभाषित रोटेशन आणि नष्टीकरणासह; ऑपरेटरला की वाचण्याचा अधिकार नाही; की ऍक्सेसची नोंद ठेवली जाते; व्हॉल्ट बॅकअप की स्वतंत्रपणे ठेवल्या जातात (TO_4.11.02).
- ऐच्छिक: ग्राहकाच्या KMS मधील ग्राहक-व्यवस्थापित की, ग्राहकाने पुरवलेली प्रमाणपत्रे, ASK इंजिनसाठी BYOK.
ग्राहक-व्यवस्थापित चाव्यांच्या बाबतीत, चावी रद्द केल्यास TRANXACT अनुपलब्ध होते. चावी वापरण्यापूर्वी रोटेशन आणि आपत्कालीन कार्यपद्धतींवर एकत्रितपणे सहमत व्हा.
तीव्रतेनुसार पॅचिंग (प्रस्तावित डीफॉल्ट)
| तीव्रता (सीव्हीएसएस) | निवारण लक्ष्य | ग्राहक सूचना |
|---|---|---|
| गंभीर (९.०–१०) | आपत्कालीन मार्ग, चाचणी केलेला उपाय उपलब्ध होताच. | डाउनटाइमची आवश्यकता असल्यास, तात्काळ. |
| उच्च (७.०–८.९) | पुढील देखभाल कालावधी | प्रकाशन नोट्स |
| मध्यम (४.०–६.९) | ३० दिवसांच्या आत | प्रकाशन नोट्स |
| कमी (४.० पेक्षा कमी) | पुढील नियोजित प्रकाशन | प्रकाशन नोट्स |
चार टप्पे: मूल्यांकन आणि वर्गीकरण; प्रोडक्शन-आकाराच्या प्रतीच्या तुलनेत नॉन-प्रोडक्शनवर चाचणी आणि पडताळणी; कूलिंग पीरियडनंतर, हेल्थ आणि लेजर तपासण्यांवर लक्ष ठेवून रोलिंग अपडेटद्वारे डिप्लॉय करणे; प्रतिसाद देणे आणि उपाययोजना करणे. ज्या ग्राहकांचे स्वतःचे चेंज बोर्ड आहेत, त्यांनी नोटीस पीरियड आणि कोणत्या दुरुस्त्या तो वगळू शकतात यावर सहमती दर्शवावी.
सुरक्षा घटना आणि वैयक्तिक डेटाचे उल्लंघन
नियंत्रण → अहवाल → घोषित करा → निराकरण करा → शिका: नियंत्रित करा आणि वेगळे करा; SecOps आणि ऑटोनॉमस ऑपरेशन्स पायलटला लॉग करा आणि सतर्क करा; सुरक्षा घटनेचे वर्गीकरण करा आणि ती उघडा; निर्मूलन करा, स्वच्छ स्थितीतून पुनर्संचयित करा आणि लेजर सत्यापित करा; मूळ कारणाचे पुनरावलोकन करा आणि नियंत्रणे व रनबुक्स अद्ययावत करा.
| TRANXACT — प्रोसेसर (टीओ_४.५.०६) | ग्राहक — नियंत्रक (TO_4.5.07) |
|---|---|
| ग्राहकांच्या वैयक्तिक माहितीवर परिणाम करणाऱ्या उल्लंघनाची पुष्टी झाली आहे. | डेटा धारकांना असलेल्या धोक्याचे मूल्यांकन करते |
| डीपीए मध्ये नमूद केल्यानुसार, ग्राहकाला विनाकारण विलंब न लावता सूचित करते. | आवश्यकतेनुसार पर्यवेक्षकीय प्राधिकरणास सूचित करते. |
| ज्ञात तथ्ये, संभाव्य परिणाम आणि उचललेल्या उपाययोजनांची माहिती देते. | आवश्यकतेनुसार प्रभावित डेटा धारकांना माहिती देते |
| तपास पुढे सरकत असताना अद्ययावत माहिती दिली जाते. | उल्लंघनाची नोंद स्वतःच्या नोंदवहीत करते |
डीपीए (DPA) मध्ये सूचना संपर्क, माध्यम आणि कालमर्यादा निश्चित करा आणि ग्राहकाच्या डीपीओ (DPO) सोबत संवाद योजनेचा सराव करा.
ग्राहकाची स्वतःची पेनेट्रेशन टेस्ट
- एनडीएवर सही करा.
- किमान २ आठवडे आधी विनंती करा (TO_4.5.08, अतिरिक्त सेवा).
- व्याप्ती मान्य करा.
- प्रथम नॉन-प्रोडक्शन चाचणी — डेटा मास्किंगसह प्रोडक्शनमधून रिफ्रेश केलेली. प्रोडक्शन चाचणीसाठी स्पष्ट TRANXACT मंजुरी आणि एक नामनिर्देशित विंडो आवश्यक आहे.
- निष्कर्ष सामायिक करा.
- संयुक्तपणे उपाययोजना करा: प्लॅटफॉर्मवरील निष्कर्ष मानक (TO_4.5.09) आहेत; ग्राहकाच्या स्वतःच्या कॉन्फिगरेशनमधील निष्कर्ष त्यांचे आहेत.
| व्याप्तीमध्ये | व्याप्तीच्या बाहेर |
|---|---|
| ग्राहकाच्या FQDN द्वारे ॲप्लिकेशन चाचणी | सेवा नाकारणे आणि लोड हल्ले |
| प्रमाणीकरण, अधिकार आणि भूमिका रचना | क्लाउड-प्रोवाइडर पायाभूत सुविधा |
| ग्राहकाच्या इंटिग्रेशन्सद्वारे वापरले जाणारे एपीआय | इतर भाडेकरू, व्हॉल्ट खाते आणि सामायिक साधने |
| ग्राहकाकडील नेटवर्क मार्ग (व्हीपीएन, खाजगी लिंक) | TRANXACT कर्मचाऱ्यांचे सामाजिक अभियांत्रिकी |
प्रशासकीय निर्णयांबद्दल ASK
ASK हे वापरकर्त्याच्या स्वतःच्या सेशनसह TRANXACT च्या API द्वारे कार्य करते, त्यामुळे प्रत्येक पोस्टिंग नियम, रोल परवानगी आणि ऑडिट-लॉग एंट्री अशा प्रकारे लागू होतात जणू काही वापरकर्त्याने क्लिक केले आहे. प्रत्येक ग्राहकानुसार काय ठरवले जाते:
| निर्णय | श्रेणी | विश्रांती आणि आराम |
|---|---|---|
| इंजिन टियर (प्रीमियम, बॅलन्स्ड, इकॉनॉमी) आणि प्रोसेसिंग रिजन | मानक, सेवा विनंती | ASK_6.1.02 |
| ग्राहकाने दिलेली एआय की (BYOK) जोडा. | मानक, सेवा विनंती | ASK_6.1.03 |
| BYOK की प्रदान करा आणि फिरवा; AI प्रोव्हायडर कॉन्ट्रॅक्ट धारण करा. | वगळलेले | ASK_6.1.04 |
| कोणत्या भूमिका ASK वापरू शकतात; वापर बजेट आणि सूचना; मासिक सूचना आणि वापर आढावा; अवलंबन सत्रे | पॅकेज्ड — G1 ASK वापराचे प्रशासन | ASK_6.2.01 – 6.2.03, 6.2.07 |
| ऑडिट ट्रेलमधील प्रत्येक ASK कृती | मानक | ASK_6.2.04 |
| ग्राहकाचे अंतर्गत एआय वापर धोरण | वगळलेले | ASK_6.2.05 |
डेटा रेसिडेन्सी
- प्राथमिक विभाग म्हणजे जिथे खातेवही आणि कागदपत्रे असतात.
- नियमांनुसार आवश्यक असेल तेथे Live DR रिजन आणि व्हॉल्ट एकाच कायदेशीर अधिकारक्षेत्रात येतात.
- ASK: जिथे प्रॉम्प्ट्स आणि रिस्पॉन्सवर प्रक्रिया केली जाते — जर ग्राहकाने स्वतःच्या AI कॉन्ट्रॅक्टची मागणी केली असेल तर BYOK.
- प्रत्येक कायदेशीर संस्थेनुसार भाषा, संस्था, चलने आणि स्थानिक वैधानिक गरजा.
- क्षेत्रीय नियम: आरोग्य नोंदी (EHR), विद्यार्थी नोंदी, वेतनपट आणि कर डेटा.
- सीमापार हस्तांतरण डीपीएच्या अंतर्गत येतात.
प्रदेश निवडण्यापूर्वी नियमन केलेल्या डेटाच्या आवश्यकतांची पुष्टी करा. एका प्रदेशातून दुसऱ्या प्रदेशात चालू असलेले लेजर हलवणे हा एक मायग्रेशन प्रकल्प आहे.
पुरावे आणि प्रमाणपत्रे
- विनंतीनुसार: सुरक्षा श्वेतपत्रिका आणि नियंत्रण वर्णने, भेदक-चाचणी सारांश, स्विचओव्हर ड्रिल आणि क्लीन-रूम पुनर्संचयित अहवाल, उपलब्धता आणि बॅकअप-स्थिती अहवाल, उप-प्रोसेसर सूची आणि DPA TOMs (TO_4.5.12).
- ग्राहकाची सुरक्षा योग्य-चौकशी प्रश्नावली, जी प्रत्येक करार वर्षात एकदा भरावी लागते (TO_4.5.13).
- डीपीए मध्ये परिभाषित केल्यानुसार ऑडिट अधिकार; मान्य केलेल्या प्रक्रियेनुसार ग्राहकाची स्वतःची पेनिट्रेशन टेस्टिंग; त्याच्या SIEM मध्ये लॉग निर्यात करणे.
केवळ अशाच प्रमाणपत्रांचा आणि प्रमाणीकरणांचा — जसे की ISO/IEC 27001, SOC 2 Type II, सेक्टर फ्रेमवर्क्स — उल्लेख करा, ज्यांची सध्याची व्याप्ती ग्राहकाच्या क्लाउड आणि प्रदेशाला व्यापते. प्रस्ताव सादर करण्यापूर्वी TRANXACT च्या अनुपालनाची खात्री करून घ्या.
'प्रस्तावित डीफॉल्ट' म्हणून चिन्हांकित केलेली मूल्ये ही डिप्लॉयमेंट गाईडने शिफारस केलेले प्रारंभिक बिंदू आहेत. प्रत्येक ग्राहकासाठी याची पुष्टी करा; करार, ऑर्डर फॉर्म, एसएलए आणि डीपीए या पृष्ठापेक्षा श्रेष्ठ ठरतील.