La mayoría de los controles están integrados en TRANXACT o provienen de los servicios nativos del proveedor de la nube. Los que fallan en la práctica son los que el cliente tiene que activar por sí mismo, porque nadie más lo hará.
| Control | Parte del cliente |
|---|---|
| SSO y MFA | Las cuentas y la política de autenticación multifactor (MFA) se encuentran en el proveedor de identidad (IdP) del cliente (PLAT_5.6.02). TRANXACT configura la federación. |
| SIEM | La exportación de registros es opcional (TO_4.6.02); el funcionamiento del SIEM y sus casos de uso son responsabilidad del cliente (TO_4.6.03). |
| Claves gestionadas por el cliente | Opcional (TO_4.5.10); los procedimientos clave de ciclo de vida, rotación y emergencia son responsabilidad del cliente (TO_4.5.11). |
| Clasificación de datos | El cliente clasifica los datos personales y regulados y decide sobre su conservación y retención legal. |
| Recertificación de acceso | Periódico y del cliente (PLAT_5.6.04). |
| Elevación del operador | El cliente lo aprueba, y cualquier acceso firmado conjuntamente a los datos de producción (TO_4.5.05). |
Llaves
TLS 1.2+ en tránsito; AES-256 en reposo para la base de datos, el almacenamiento de objetos y las copias de seguridad; un almacén de secretos gestionado; claves KMS en la nube gestionadas por TRANXACT sin acceso de lectura para el operador y claves de bóveda almacenadas por separado. Se ofrecen como opciones claves gestionadas por el cliente, certificados proporcionados por el cliente y BYOK para ASK.
Con las claves gestionadas por el cliente, la revocación de la clave inhabilita TRANXACT. Acuerden conjuntamente los procedimientos de rotación y emergencia antes de la puesta en marcha.
Aplicación de parches (opción predeterminada propuesta)
| CVSS | Objetivo | Aviso |
|---|---|---|
| Crítico 9.0–10 | Vía de emergencia, tan pronto como exista una solución probada. | Inmediato, si se necesita tiempo de inactividad. |
| Máximo 7,0–8,9 | Próxima ventana de mantenimiento | Notas de la versión |
| Medio 4,0–6,9 | Dentro de 30 días | Notas de la versión |
| Mínimo por debajo de 4.0 | Próximo lanzamiento programado | Notas de la versión |
Una violación de datos personales
TRANXACT es el encargado del tratamiento: confirma la infracción, notifica al cliente sin demora indebida según lo estipulado por la Ley de Protección de Datos, comparte la información disponible y las medidas adoptadas, y mantiene la información actualizada. El cliente es el responsable del tratamiento: evalúa el riesgo para los interesados, notifica a la autoridad de control y a los interesados cuando sea necesario, y registra la infracción en su propio registro.
La prueba de penetración del cliente
Acuerdo de confidencialidad (NDA); solicitud con dos semanas de antelación (servicio adicional para la coordinación); definición del alcance; prueba en un entorno de no producción con enmascaramiento previo; en producción se requiere aprobación explícita y una ventana específica; compartir los resultados; remediar conjuntamente. Fuera del alcance: ataques de denegación de servicio y de sobrecarga, la infraestructura del proveedor de la nube, otros inquilinos, la cuenta de la bóveda y las herramientas compartidas, y la ingeniería social del personal de TRANXACT.
PREGUNTAR
ASK actúa a través de las API de TRANXACT con la sesión del usuario, por lo que cada regla de publicación, permiso y entrada del registro de auditoría se aplica como si el usuario hubiera hecho clic. Por cliente: el nivel del motor y la región de procesamiento, si se utiliza BYOK o no, qué roles pueden usar ASK y los presupuestos de uso. La política de roles y los presupuestos son del paquete G1 o del cliente; el contrato del proveedor de IA bajo BYOK es del cliente.
Solo se deben proporcionar certificaciones cuyo alcance actual cubra la nube y la región del cliente, y únicamente después de que TRANXACT Compliance las haya confirmado.
El responsable de protección de datos de Calderwood pregunta quién informa al regulador en caso de fugas de datos de nómina. Calderwood lo hace: es el controlador. TRANXACT informa a Calderwood sin demora indebida y a través de los contactos mencionados en el acuerdo de protección de datos.
Pruébalo Calderwood quiere someter la producción a pruebas de carga para "demostrar la WAF" como parte de su prueba de penetración. ¿Cuál es la solución?
Los ataques de denegación de servicio y de carga quedan fuera del alcance de una prueba de penetración para el cliente. Las pruebas de carga son un asunto aparte: TRANXACT realiza una en un entorno que no es de producción con un volumen máximo antes de la puesta en marcha (TO_4.12.02, Estándar), y las pruebas de carga adicionales son un Servicio Adicional (TO_4.12.03).