பாதுகாப்பு, இணக்கம் மற்றும் தரவு இருப்பிடம்
ஒரு வாடிக்கையாளர் தங்களுக்குத் தாங்களே அமைத்துக்கொள்ளும் கட்டுப்பாடுகள், குறியாக்கம் மற்றும் திறவுகோல்கள், CVSS வாரியான பேட்ச் இலக்குகள், பாதுகாப்புச் சம்பவங்கள் மற்றும் மீறல் அறிவிப்பு, வாடிக்கையாளர் ஊடுருவல் சோதனை, ASK நிர்வாக முடிவுகள், இருப்பிடத் தகவல், மற்றும் ஒரு வாடிக்கையாளர் கோரக்கூடிய சான்றுகள்.
மூன்று அடுக்கு பாதுகாப்பு
| தடுப்பு | கண்டறியவும் | சரி |
|---|---|---|
| பிணையத் தனிமைப்படுத்தல் மற்றும் WAF; HTTPS-மட்டுமேயான உள்நுழைவு; தனியார் தரவுத்தளம் | மையப்படுத்தப்பட்ட பதிவுசெய்தல் — பயன்பாடு, தணிக்கை, கிளவுட் | காற்று இடைவெளி காப்புப்பிரதிகள்; மாற்ற முடியாத பாதுகாப்பு அறை; தூய்மை அறை மீட்டெடுப்பு |
| சேமிப்பிலும் பரிமாற்றத்திலும் குறியாக்கம் | பாதுகாப்பு குறைபாடுகளைக் கண்டறிதல் — படங்கள், சார்புநிலைகள், கிளவுட் கட்டமைப்பு | சம்பவ பதிலளிப்பு செயல்திட்டங்கள் மற்றும் மேல்நிலைப்படுத்தல் |
| கிரானுலர் RBAC, SSO, MFA, குறைந்தபட்ச சிறப்புரிமை | இயக்க நேர அச்சுறுத்தல் கண்டறிதல் | Live DR — தானியங்கி ஃபெயில்ஓவருடன் இயங்கும் இரண்டாவது பகுதி |
| வலுப்படுத்தப்பட்ட இமேஜ்கள்; பாதிப்பு மற்றும் பேட்ச் மேலாண்மை |
வாடிக்கையாளர் சுவிட்சுகளை இயக்குவதைக் கட்டுப்படுத்துகிறது
NIST CSF-உடன் இணைக்கப்பட்டுள்ள பெரும்பாலான கட்டுப்பாடுகள், TRANXACT-இல் உள்ளமைக்கப்பட்டுள்ளன அல்லது கிளவுட் வழங்குநரின் சொந்த சேவைகளிலிருந்து வருகின்றன. நான்கு விருப்பத் தேர்வுக்குரியவை அல்லது வாடிக்கையாளருடையவை, மேலும் அவற்றை வேறு யாரும் செய்ய மாட்டார்கள் என்பதால் உரக்கச் சொல்ல வேண்டியுள்ளது:
| கட்டுப்பாடுகள் | செயல்பாடு | WHO |
|---|---|---|
| தரவு வகைப்பாடு | அடையாளம் காணுங்கள் | வாடிக்கையாளர் தனிப்பட்ட மற்றும் ஒழுங்குபடுத்தப்பட்ட தரவுகளை வகைப்படுத்துகிறார் (தரவுத் தக்கவைப்பு மற்றும் சட்டப்பூர்வ முடக்கத்திற்கான INFRA_2.5.04). |
| IdP மூலம் SSO மற்றும் MFA | பாதுகாக்கவும் | வாடிக்கையாளர் தனது IdP-இல் (PLAT_5.6.02) கணக்குகளையும் MFA கொள்கையையும் பராமரிக்கிறார்; TRANXACT கூட்டமைப்பை (PLAT_5.6.01) அமைக்கிறது. |
| வாடிக்கையாளரால் நிர்வகிக்கப்படும் சாவிகள் | பாதுகாக்கவும் | விருப்பத்தேர்வு (TO_4.5.10); வாடிக்கையாளர் சாவி ஆயுள் சுழற்சியை (TO_4.5.11) இயக்குகிறார். |
| SIEM ஒருங்கிணைப்பு | கண்டறியவும் | பதிவு ஏற்றுமதி விருப்பத்தேர்வு (TO_4.6.02); SIEM-ஐ இயக்குவது வாடிக்கையாளருடையது (TO_4.6.03) |
குறியாக்கம் மற்றும் சாவிகள்
| என்ன | எப்படி |
|---|---|
| பரிமாற்றத்தில் உள்ள தரவு | TLS 1.2+ |
| ஓய்வு நிலையில் உள்ள தரவுத்தளம் | ஏஇஎஸ்-256 |
| பொருள் சேமிப்பு மற்றும் காப்புப்பிரதிகள் | ஏஇஎஸ்-256 |
| ரகசியங்கள் | நிர்வகிக்கப்பட்ட இரகசியக் களஞ்சியம் |
| AI விசைகள் | அடுக்கு வழங்குநரின் சாவி, அல்லது BYOK |
| சான்றிதழ்கள் | FQDN-க்கான ஒரு பொது CA |
- தரநிலை: வரையறுக்கப்பட்ட சுழற்சி மற்றும் அழிப்புடன், TRANXACT ஆல் நிர்வகிக்கப்படும் கிளவுட் KMS சாவிகள்; சாவிகளுக்கு இயக்குபவருக்கு வாசிப்பு அணுகல் இல்லை; சாவி அணுகல் பதிவு செய்யப்படும்; வால்ட் காப்புச் சாவிகள் தனியாகப் பராமரிக்கப்படுகின்றன (TO_4.11.02).
- விருப்பத்தேர்வு: வாடிக்கையாளரின் அறிவு மேலாண்மை அமைப்பில் (KMS) வாடிக்கையாளரால் நிர்வகிக்கப்படும் சாவிகள், வாடிக்கையாளரால் வழங்கப்படும் சான்றிதழ்கள், ASK எஞ்சினுக்கான BYOK.
வாடிக்கையாளரால் நிர்வகிக்கப்படும் சாவிகளைப் பொறுத்தவரை, சாவியை ரத்து செய்தால் TRANXACT செயலிழந்துவிடும். சாவியைப் பயன்படுத்துவதற்கு முன்பு, சுழற்சி மற்றும் அவசரகால நடைமுறைகளை கூட்டாக ஒப்புக்கொள்ளுங்கள்.
தீவிரத்தின் அடிப்படையில் சரிசெய்தல் (முன்மொழியப்பட்ட இயல்புநிலை)
| தீவிரம் (CVSS) | சீர்திருத்த இலக்கு | வாடிக்கையாளர் அறிவிப்பு |
|---|---|---|
| விமர்சனம் (9.0–10) | சோதிக்கப்பட்ட தீர்வு கிடைத்தவுடன், அவசரகால வழிமுறை. | செயலிழப்பு தேவைப்பட்டால் உடனடியாக |
| உயர் (7.0–8.9) | அடுத்த பராமரிப்பு சாளரம் | வெளியீட்டுக் குறிப்புகள் |
| நடுத்தரம் (4.0–6.9) | 30 நாட்களுக்குள் | வெளியீட்டுக் குறிப்புகள் |
| குறைவு (4.0க்குக் கீழ்) | அடுத்த திட்டமிடப்பட்ட வெளியீடு | வெளியீட்டுக் குறிப்புகள் |
நான்கு நிலைகள்: மதிப்பீடு செய்து வகைப்படுத்துதல்; உற்பத்தி அளவிலான நகலுடன் ஒப்பிட்டு, உற்பத்தி அல்லாத மாதிரியில் சோதித்து சரிபார்த்தல்; காத்திருப்புக் காலத்திற்குப் பிறகு, நிலை மற்றும் கணக்குப் பதிவேடு சரிபார்ப்புகளைக் கண்காணித்தவாறு, தொடர் மேம்படுத்தல் மூலம் செயல்படுத்துதல்; பதிலளித்து சரிசெய்தல். தங்களுக்கென சொந்த மாற்றப் பலகைகளைக் கொண்ட வாடிக்கையாளர்கள், அறிவிப்புக் காலத்தையும், அதனைத் தவிர்க்கக்கூடிய திருத்தங்கள் எவை என்பதையும் ஒப்புக்கொள்ள வேண்டும்.
பாதுகாப்பு சம்பவங்கள் மற்றும் தனிப்பட்ட தரவு மீறல்கள்
கட்டுப்படுத்து → புகாரளி → அறிவி → தீர்வு காண் → கற்றுக்கொள்: கட்டுப்படுத்தித் தனிமைப்படுத்து; பாதுகாப்புச் செயல்பாட்டுக் குழு (SecOps) மற்றும் தன்னாட்சி செயல்பாட்டு பைலட்டிற்கு (Autonomous Operations Pilot) பதிவுசெய்து எச்சரிக்கை செய்; ஒரு பாதுகாப்புச் சம்பவத்தை வகைப்படுத்திப் பதிவு செய்; அதை முற்றிலுமாக நீக்கி, தூய்மையான நிலையிலிருந்து மீட்டெடுத்து, பேரேட்டைச் சரிபார்; மூலக் காரணத்தை மதிப்பாய்வு செய்து, கட்டுப்பாடுகள் மற்றும் இயக்கப் புத்தகங்களைப் புதுப்பி.
| TRANXACT — செயலி (TO_4.5.06) | வாடிக்கையாளர் — கட்டுப்படுத்தி (TO_4.5.07) |
|---|---|
| வாடிக்கையாளரின் தனிப்பட்ட தரவைப் பாதிக்கும் மீறலை உறுதிப்படுத்துகிறது | தரவு உரிமையாளர்களுக்கு ஏற்படும் அபாயத்தை மதிப்பிடுகிறது |
| தரவுப் பாதுகாப்பு ஒப்பந்தத்தில் (DPA) குறிப்பிடப்பட்டுள்ளபடி, வாடிக்கையாளருக்கு தேவையற்ற தாமதமின்றி அறிவிக்கிறது. | தேவைப்படும் இடங்களில் மேற்பார்வை அதிகாரியிடம் தெரிவிக்கிறார். |
| அறியப்பட்ட உண்மைகள், ஏற்படக்கூடிய தாக்கம் மற்றும் எடுக்கப்பட்ட நடவடிக்கைகள் ஆகியவற்றைப் பகிர்ந்து கொள்கிறது. | தேவைப்படும் இடங்களில் பாதிக்கப்பட்ட தரவு நபர்களுக்குத் தெரிவிக்கப்படுகிறது. |
| விசாரணை முன்னேறும்போது அவ்வப்போது தகவல்களை வழங்குகிறது. | தனது சொந்த பதிவேட்டில் மீறலைப் பதிவு செய்கிறது |
தரவுப் பாதுகாப்பு ஒப்பந்தத்தில் (DPA) அறிவிப்புத் தொடர்புகள், வழிமுறை மற்றும் காலக்கெடு ஆகியவற்றை ஒப்புக்கொண்டு, வாடிக்கையாளரின் தரவுப் பாதுகாப்பு அதிகாரியுடன் (DPO) தகவல் தொடர்புத் திட்டத்தை ஒத்திகை பார்க்கவும்.
வாடிக்கையாளரின் சொந்த ஊடுருவல் சோதனை
- ஒரு இரகசிய ஒப்பந்தத்தில் கையெழுத்திடுங்கள்.
- குறைந்தது 2 வாரங்களுக்கு முன்னதாகக் கோரவும் (TO_4.5.08, கூடுதல் சேவை).
- நோக்க எல்லையை ஒப்புக்கொள்ளுங்கள்.
- முதலில் உற்பத்தி அல்லாத சோதனையை மேற்கொள்ளுங்கள் — தரவு மறைப்புடன் உற்பத்திச் சோதனையிலிருந்து புதுப்பிக்கப்பட்டது. உற்பத்திச் சோதனைக்குத் தெளிவான TRANXACT ஒப்புதலும், பெயரிடப்பட்ட சாளரமும் தேவை.
- கண்டறிந்த முடிவுகளைப் பகிரவும்.
- கூட்டாகச் சரிசெய்யவும்: இயங்குதளக் கண்டுபிடிப்புகள் தரநிலையானவை (TO_4.5.09); வாடிக்கையாளரின் சொந்த உள்ளமைப்பில் உள்ள கண்டுபிடிப்புகள் அவர்களுக்கே உரியவை.
| வரம்பிற்குள் | வரம்பிற்கு அப்பாற்பட்டது |
|---|---|
| வாடிக்கையாளரின் FQDN மூலம் பயன்பாட்டுச் சோதனை | சேவை மறுப்பு மற்றும் சுமை தாக்குதல்கள் |
| சரிபார்ப்பு, அதிகாரமளித்தல் மற்றும் பங்கு வடிவமைப்பு | கிளவுட் வழங்குநர் உள்கட்டமைப்பு |
| வாடிக்கையாளரின் ஒருங்கிணைப்புகளால் பயன்படுத்தப்படும் APIகள் | மற்ற குத்தகைதாரர்கள், பாதுகாப்பு பெட்டகக் கணக்கு மற்றும் பகிரப்பட்ட கருவிகள் |
| வாடிக்கையாளர் தரப்பு பிணையப் பாதைகள் (VPN, தனிப்பட்ட இணைப்பு) | TRANXACT பணியாளர்களின் சமூகப் பொறியியல் |
ஆளுகை முடிவுகளைக் ASK
ASK ஆனது TRANXACT-இன் API-கள் வழியாகப் பயனரின் சொந்த செஷனுடன் செயல்படுகிறது, எனவே ஒவ்வொரு பதிவிடும் விதி, பங்கு அனுமதி மற்றும் தணிக்கைப் பதிவு உள்ளீடு ஆகியவை பயனர் கிளிக் செய்தது போலவே பொருந்தும். ஒவ்வொரு வாடிக்கையாளருக்கும் தீர்மானிக்கப்படுவது:
| முடிவு | வகை | ஆர்&ஆர் |
|---|---|---|
| இயந்திரத் தரம் (பிரீமியம், சமநிலை, பொருளாதாரம்) மற்றும் செயலாக்கப் பகுதி | தரநிலை, சேவை கோரிக்கை | ASK_6.1.02 |
| வாடிக்கையாளர் வழங்கிய AI சாவியை (BYOK) இணைக்கவும் | தரநிலை, சேவை கோரிக்கை | ASK_6.1.03 |
| BYOK சாவியை வழங்கி சுழற்சி முறையில் பயன்படுத்தவும்; AI வழங்குநர் ஒப்பந்தத்தை வைத்திருக்கவும். | விலக்கப்பட்ட | ASK_6.1.04 |
| ASK-ஐ எந்தெந்தப் பொறுப்புகள் பயன்படுத்தலாம்; பயன்பாட்டு வரவுசெலவுத் திட்டங்கள் மற்றும் எச்சரிக்கைகள்; மாதாந்திர நினைவூட்டல் மற்றும் பயன்பாட்டு மதிப்பாய்வு; ஏற்பு அமர்வுகள் | தொகுக்கப்பட்டது — G1 ASK பயன்பாட்டு நிர்வாகம் | ASK_6.2.01 – 6.2.03, 6.2.07 |
| தணிக்கைப் பாதையில் உள்ள ஒவ்வொரு ASK செயலும் | தரநிலை | ASK_6.2.04 |
| வாடிக்கையாளரின் உள் AI பயன்பாட்டுக் கொள்கை | விலக்கப்பட்ட | ASK_6.2.05 |
தரவு குடியிருப்பு
- முதன்மைப் பகுதி என்பது பேரேடும் ஆவணங்களும் இருக்கும் இடமாகும்.
- விதிமுறைகளின்படி தேவைப்படும் இடங்களில் Live DR பிராந்தியமும் வால்ட்டும் ஒரே சட்ட அதிகார வரம்பிற்குள் வருகின்றன.
- ASK: அறிவுறுத்தல்களும் பதில்களும் செயலாக்கப்படும் இடம் — வாடிக்கையாளர் தனது சொந்த AI ஒப்பந்தத்தைக் கட்டாயப்படுத்தினால், நீங்களே சரிசெய்யுங்கள்.
- மொழிகள், அமைப்புகள், நாணயங்கள் மற்றும் ஒவ்வொரு சட்ட அமைப்புக்கும் உரிய உள்ளூர் சட்டப்பூர்வ தேவைகள்.
- துறை விதிகள்: சுகாதாரப் பதிவுகள் (மின்னணு சுகாதாரப் பதிவுகள்), மாணவர் பதிவுகள், ஊதியம் மற்றும் வரித் தரவுகள்.
- எல்லை தாண்டிய பரிமாற்றங்கள் தரவுப் பாதுகாப்புச் சட்டத்தின் கீழ் வருகின்றன.
பிராந்தியங்களைத் தேர்ந்தெடுப்பதற்கு முன், ஒழுங்குபடுத்தப்பட்ட தரவுத் தேவைகளை உறுதிப்படுத்தவும். பிராந்தியங்களுக்கு இடையில் ஒரு நேரடிப் பேரேட்டை நகர்த்துவது ஒரு இடமாற்றத் திட்டமாகும்.
ஆதாரங்கள் மற்றும் சான்றிதழ்கள்
- கோரிக்கையின் பேரில்: பாதுகாப்பு வெள்ளை அறிக்கை மற்றும் கட்டுப்பாட்டு விளக்கங்கள், ஊடுருவல்-சோதனைச் சுருக்கங்கள், நிலைமாற்றப் பயிற்சி மற்றும் தூய்மை அறை மீட்டெடுப்பு அறிக்கைகள், கிடைக்கும் தன்மை மற்றும் காப்புப் பிரதி நிலை அறிக்கைகள், துணைச் செயலி பட்டியல் மற்றும் DPA TOMகள் (TO_4.5.12).
- வாடிக்கையாளரின் பாதுகாப்பு சரிபார்ப்பு வினாத்தொகுப்பு, ஒப்பந்த ஆண்டிற்கு ஒருமுறை பதிலளிக்கப்பட வேண்டும் (TO_4.5.13).
- தரவுப் பாதுகாப்பு ஒப்பந்தத்தில் வரையறுக்கப்பட்டுள்ளபடி தணிக்கை உரிமைகள்; ஒப்புக்கொள்ளப்பட்ட செயல்முறையின் கீழ் வாடிக்கையாளரின் சொந்த ஊடுருவல் சோதனை; அதன் SIEM-க்கு பதிவுகளை ஏற்றுமதி செய்தல்.
வாடிக்கையாளரின் கிளவுட் மற்றும் பிராந்தியத்தை உள்ளடக்கிய தற்போதைய செயல் எல்லையைக் கொண்ட ISO/IEC 27001, SOC 2 வகை II, துறைசார் கட்டமைப்புகள் போன்ற சான்றிதழ்கள் மற்றும் உறுதிப்படுத்தல்களை மட்டுமே மேற்கோள் காட்டுங்கள். அவற்றை ஒரு முன்மொழிவாகச் சேர்ப்பதற்கு முன்பு, TRANXACT-இன் இணக்க நிலையை உறுதிப்படுத்திக்கொள்ளுங்கள்.
முன்மொழியப்பட்ட இயல்புநிலை எனக் குறிக்கப்பட்ட மதிப்புகள், செயலாக்க வழிகாட்டியின் பரிந்துரைக்கப்பட்ட தொடக்கப் புள்ளிகளாகும். ஒவ்வொரு வாடிக்கையாளருக்கும் தனித்தனியாக ஒவ்வொன்றையும் உறுதிப்படுத்தவும்; இந்தப் பக்கத்தை விட ஒப்பந்தம், ஆர்டர் படிவம், சேவை நிலை ஒப்பந்தம் (SLA) மற்றும் தரவுப் பாதுகாப்பு ஒப்பந்தம் (DPA) ஆகியவையே மேலோங்கும்.
வரைபடங்கள் மற்றும் சரிபார்ப்புடன் இது குறித்த பாடநெறியை மேற்கொள்ளுங்கள்.