Безопасность, соответствие нормативным требованиям и размещение данных.
Контроль, который клиент включает самостоятельно, шифрование и ключи, целевые объекты для установки патчей по CVSS, уведомления об инцидентах безопасности и нарушениях, тестирование на проникновение со стороны клиента, решения по управлению ASK, местонахождение и доказательства, которые может запросить клиент.
Три уровня защиты
| Предотвращать | Обнаружить | Правильный |
|---|---|---|
| Сетевая изоляция и WAF; входящий трафик только по HTTPS; частная база данных | Централизованное ведение журналов — приложения, аудит, облако | Резервное копирование с изолированной сетью; неизменяемое хранилище; восстановление в чистой комнате |
| Шифрование в состоянии покоя и при передаче | Сканирование уязвимостей — образы, зависимости, конфигурация облака. | Схемы реагирования на инциденты и эскалация конфликтов |
| Детальный RBAC, SSO, MFA, принцип наименьших привилегий | обнаружение угроз во время выполнения | Live DR — работающий второй регион с автоматическим переключением на резервный сервер. |
| Усиленные образы; управление уязвимостями и обновлениями. |
Управляет включением клиентских выключателей
Большинство параметров управления, соответствующих стандартам NIST CSF, встроены в TRANXACT или предоставляются собственными сервисами облачного провайдера. Четыре параметра являются необязательными или зависят от клиента, и их необходимо озвучить, потому что никто другой этого делать не будет:
| Контроль | Функция | ВОЗ |
|---|---|---|
| Классификация данных | Идентифицировать | Клиент классифицирует персональные и регулируемые данные (INFRA_2.5.04 для хранения и юридического удержания). |
| SSO и MFA через IdP | Защищать | Клиент ведет учетные записи и политику многофакторной аутентификации в своем поставщике идентификации (PLAT_5.6.02); TRANXACT настраивает федерацию (PLAT_5.6.01). |
| Ключи, управляемые клиентом | Защищать | Необязательно (TO_4.5.10); клиент запускает жизненный цикл ключа (TO_4.5.11) |
| Интеграция с SIEM | Обнаружить | Экспорт журналов является необязательным (TO_4.6.02); управление SIEM осуществляется заказчиком (TO_4.6.03). |
Шифрование и ключи
| Что | Как |
|---|---|
| Данные в процессе передачи | TLS 1.2+ |
| База данных в состоянии покоя | АЭС-256 |
| Объектное хранилище и резервное копирование | АЭС-256 |
| Секреты | Управляемое хранилище секретов |
| Ключи ИИ | Ключ поставщика услуг уровня, или BYOK. |
| Сертификаты | Публичный центр сертификации для полного доменного имени (FQDN). |
- Стандарт: облачные ключи KMS, управляемые TRANXACT, с заданными режимами ротации и уничтожения; оператор не имеет доступа на чтение ключей; доступ к ключам регистрируется; резервные ключи хранилища хранятся отдельно (TO_4.11.02).
- Дополнительно: ключи, управляемые клиентом в KMS клиента, сертификаты, предоставленные клиентом, BYOK для механизма ASK.
При использовании ключей, управляемых клиентом, отзыв ключа делает TRANXACT недоступным. Перед использованием ключа необходимо совместно согласовать порядок его ротации и действия в чрезвычайных ситуациях.
Установка исправлений в зависимости от степени серьезности (предлагаемое значение по умолчанию)
| Тяжесть (CVSS) | Цель рекультивации | Уведомление для клиента |
|---|---|---|
| Критический (9,0–10) | Аварийный путь, как только будет найдено проверенное решение. | Немедленно, если потребуется простой. |
| Высокий (7,0–8,9) | Следующее окно технического обслуживания | Примечания к выпуску |
| Средний (4,0–6,9) | В течение 30 дней | Примечания к выпуску |
| Низкий (ниже 4,0) | Следующий запланированный релиз | Примечания к выпуску |
Четыре этапа: оценка и классификация; тестирование и проверка на непроизводственной среде по сравнению с копией производственного размера; развертывание путем поэтапного обновления после периода ожидания, с отслеживанием проверок работоспособности и учета; реагирование и устранение неполадок. Клиенты, имеющие собственные доски изменений, должны согласовать период уведомления и определить, какие исправления могут быть внесены без него.
Инциденты в сфере безопасности и утечки персональных данных
Управление → Отчет → Объявление → Разрешение → Обучение: локализация и изоляция; регистрация и оповещение SecOps и пилотного проекта автономных операций; классификация и открытие инцидента безопасности; устранение, восстановление из чистого состояния и проверка реестра; анализ первопричины и обновление средств контроля и руководств по устранению неполадок.
| TRANXACT — процессор (TO_4.5.06) | Заказчик — контролер (TO_4.5.07) |
|---|---|
| Подтверждается утечка данных, затрагивающая персональные данные клиентов. | Оценивает риски для субъектов данных. |
| Уведомляет клиента без неоправданной задержки, как это установлено в соглашении об обработке данных. | Уведомляет надзорный орган в случае необходимости. |
| В документе представлены известные факты, вероятные последствия и принятые меры. | При необходимости информирует затронутых субъектов данных. |
| Предоставляет обновления по мере продвижения расследования. | Зафиксировала нарушение в собственном реестре. |
Согласуйте контактные лица, канал и сроки уведомления в соглашении об обработке данных и отработайте план коммуникации с сотрудником по защите данных заказчика.
Собственный тест на проникновение клиента
- Подпишите соглашение о неразглашении.
- Запросите услугу как минимум за 2 недели (TO_4.5.08, Дополнительная услуга).
- Согласовать объем работ.
- Сначала протестируйте непроизводственную среду — данные обновляются из производственной среды с использованием маскирования данных. Для производственного тестирования требуется явное одобрение TRANXACT и именованное окно.
- Поделитесь результатами.
- Устранение неполадок должно проводиться совместно: результаты проверки платформы соответствуют стандартным требованиям (TO_4.5.09); результаты проверки в собственной конфигурации клиента относятся к его собственной.
| В рамках | Выход за рамки темы |
|---|---|
| Тестирование приложений через полное доменное имя клиента (FQDN) | Атаки типа «отказ в обслуживании» и атаки с использованием перегрузки |
| Аутентификация, авторизация и проектирование ролей | инфраструктура облачного провайдера |
| API, используемые в интеграциях клиента. | Другие арендаторы, учетная запись хранилища и общие инструменты. |
| Сетевые каналы на стороне клиента (VPN, частный канал) | Социальная инженерия персонала TRANXACT |
Решения управления ASK
ASK работает через API TRANXACT с собственной сессией пользователя, поэтому каждое правило размещения, разрешение роли и запись в журнале аудита применяются так, как если бы пользователь нажал на кнопку. Что определяется для каждого клиента:
| Решение | Категория | Р&Р |
|---|---|---|
| Уровень движка (премиум, сбалансированный, экономичный) и регион обработки. | Стандартный запрос на обслуживание. | ASK_6.1.02 |
| Подключите предоставленный клиентом ключ AI (BYOK). | Стандартный запрос на обслуживание. | ASK_6.1.03 |
| Предоставьте и меняйте ключ BYOK; поддерживайте договор с поставщиком ИИ. | Исключено | ASK_6.1.04 |
| Какие роли могут использовать ASK; бюджеты использования и оповещения; ежемесячные напоминания и анализ использования; сессии по внедрению. | В комплекте — G1 ASK Управление использованием | ASK_6.2.01 – 6.2.03, 6.2.07 |
| Каждое действие ASK в журнале аудита | Стандарт | ASK_6.2.04 |
| Внутренняя политика клиента по использованию ИИ | Исключено | ASK_6.2.05 |
размещение данных
- Основной регион — это место, где хранятся бухгалтерская книга и документы.
- Регион Live DR и хранилище находятся в одной и той же правовой юрисдикции, где это требуется в соответствии с законодательством.
- ASK: где обрабатываются запросы и ответы — BYOK, если клиент заключает собственный договор об использовании ИИ.
- Языки, юридические лица, валюты и местные законодательные требования для каждого юридического лица.
- Секторальные правила: медицинские карты (электронные медицинские карты), студенческие записи, данные о заработной плате и налогах.
- Трансграничные переводы регулируются Соглашением об оборонном производстве.
Перед выбором регионов необходимо подтвердить соответствие требованиям к регулируемым данным. Перенос действующего реестра между регионами — это проект миграции.
Доказательства и сертификаты
- По запросу: документ по безопасности и описания средств контроля, сводки результатов тестирования на проникновение, отчеты о переключении и восстановлении в чистой комнате, отчеты о доступности и состоянии резервного копирования, список субпроцессоров и руководства DPA TOM (TO_4.5.12).
- Анкета клиента по проверке безопасности, заполняемая один раз в течение контрактного года (TO_4.5.13).
- Права на аудит, определенные в соглашении об обработке данных; собственное тестирование на проникновение клиента в соответствии с согласованной процедурой; экспорт журналов в его SIEM-систему.
Указывайте в предложениях только сертификаты и подтверждения соответствия — ISO/IEC 27001, SOC 2 Type II, отраслевые стандарты — область действия которых в настоящее время охватывает облачную инфраструктуру и регион заказчика. Перед составлением предложения подтвердите соответствие требованиям TRANXACT.
Значения, отмеченные как «предлагаемые значения по умолчанию», являются рекомендуемыми отправными точками, указанными в руководстве по развертыванию. Подтверждайте каждое значение для каждого клиента; договор, форма заказа, соглашение об уровне обслуживания (SLA) и соглашение о защите данных (DPA) имеют приоритет над данной страницей.