अधिकांश नियंत्रण TRANXACT में अंतर्निहित होते हैं या क्लाउड प्रदाता की मूल सेवाओं से प्राप्त होते हैं। व्यवहार में जो नियंत्रण विफल होते हैं, वे वे होते हैं जिन्हें ग्राहक को स्वयं चालू करना पड़ता है, क्योंकि कोई और उन्हें चालू नहीं करेगा।
| नियंत्रण | ग्राहक का भाग |
|---|---|
| एसएसओ और एमएफए | खाते और एमएफए नीति ग्राहक के आईडीपी (PLAT_5.6.02) में मौजूद हैं। TRANXACT फेडरेशन स्थापित करता है। |
| सिएम | लॉग निर्यात वैकल्पिक है (TO_4.6.02); SIEM और इसके उपयोग के मामलों का संचालन ग्राहक का है (TO_4.6.03)। |
| ग्राहक-प्रबंधित कुंजियाँ | वैकल्पिक (टीओ_4.5.10); कुंजी जीवनचक्र, रोटेशन और आपातकालीन प्रक्रियाएं ग्राहक की हैं (टीओ_4.5.11)। |
| डेटा वर्गीकरण | ग्राहक व्यक्तिगत और विनियमित डेटा का वर्गीकरण करता है और उसे कितने समय तक सुरक्षित रखना है और कानूनी रूप से उसे कितने समय तक अपने पास रखना है, इस बारे में निर्णय लेता है। |
| पुनःप्रमाणीकरण तक पहुंचें | आवधिक, और ग्राहक का (PLAT_5.6.04)। |
| ऑपरेटर की ऊंचाई | ग्राहक इसे मंजूरी देता है, और उत्पादन डेटा तक किसी भी सह-हस्ताक्षरित पहुंच (टीओ_4.5.05)। |
चाबियाँ
डेटा ट्रांसफर के लिए TLS 1.2+; डेटाबेस, ऑब्जेक्ट स्टोरेज और बैकअप के लिए AES-256; एक प्रबंधित सीक्रेट्स स्टोर; TRANXACT द्वारा प्रबंधित क्लाउड KMS कुंजी, जिसमें ऑपरेटर को पढ़ने की अनुमति नहीं है, और अलग से रखी गई वॉल्ट कुंजी। ग्राहक द्वारा प्रबंधित कुंजी, ग्राहक द्वारा प्रदान किए गए प्रमाणपत्र और ASK के लिए BYOK विकल्प उपलब्ध हैं।
ग्राहक द्वारा प्रबंधित कुंजियों के मामले में, कुंजी रद्द करने से TRANXACT अनुपलब्ध हो जाता है। लाइव होने से पहले रोटेशन और आपातकालीन प्रक्रियाओं पर संयुक्त रूप से सहमति बना लें।
पैचिंग (प्रस्तावित डिफ़ॉल्ट)
| सीवीएस | लक्ष्य | सूचना |
|---|---|---|
| महत्वपूर्ण 9.0–10 | आपातकालीन मार्ग, जैसे ही कोई परीक्षित समाधान उपलब्ध हो | यदि डाउनटाइम की आवश्यकता हो तो तुरंत। |
| उच्च 7.0–8.9 | अगली रखरखाव अवधि | रिलीज नोट्स |
| मध्यम 4.0–6.9 | 30 दिनों के भीतर | रिलीज नोट्स |
| न्यूनतम 4.0 से नीचे | अगली निर्धारित रिलीज़ | रिलीज नोट्स |
व्यक्तिगत डेटा का उल्लंघन
TRANXACT डेटा प्रोसेसर है: यह उल्लंघन की पुष्टि करता है, डेटा सुरक्षा समझौते (DPA) के अनुसार ग्राहक को बिना किसी अनावश्यक देरी के सूचित करता है, ज्ञात जानकारी और की गई कार्रवाई साझा करता है, और लगातार अपडेट करता रहता है। ग्राहक डेटा नियंत्रक है: यह डेटा विषयों के लिए जोखिम का आकलन करता है, आवश्यकतानुसार पर्यवेक्षी प्राधिकरण और डेटा विषयों को सूचित करता है, और उल्लंघन को अपने रजिस्टर में दर्ज करता है।
ग्राहक का प्रवेश परीक्षण
एनडीए (NDA); 2 सप्ताह पहले अनुरोध करें (समन्वय के लिए एक अतिरिक्त सेवा); कार्यक्षेत्र पर सहमति; पहले मास्किंग के साथ गैर-उत्पादन संस्करण का परीक्षण करें - उत्पादन के लिए स्पष्ट अनुमोदन और एक निर्धारित समय सीमा आवश्यक है; निष्कर्ष साझा करें; संयुक्त रूप से समाधान करें। कार्यक्षेत्र से बाहर: सेवा से इनकार और लोड हमले, क्लाउड प्रदाता का बुनियादी ढांचा, अन्य किरायेदार, वॉल्ट खाता और साझा उपकरण, और TRANXACT कर्मचारियों की सोशल इंजीनियरिंग।
पूछना
ASK, TRANXACT के अपने API के माध्यम से उपयोगकर्ता के सत्र के साथ काम करता है, इसलिए प्रत्येक पोस्टिंग नियम, अनुमति और ऑडिट-लॉग प्रविष्टि इस प्रकार लागू होती है जैसे उपयोगकर्ता ने क्लिक किया हो। प्रत्येक ग्राहक के लिए: इंजन टियर और प्रोसेसिंग क्षेत्र, BYOK (अपनी सुविधानुसार ऐप लाएँ) या नहीं, कौन सी भूमिकाएँ ASK का उपयोग कर सकती हैं, और उपयोग बजट। भूमिका नीति और बजट G1 पैकेज या ग्राहक के होते हैं; BYOK के तहत AI प्रदाता अनुबंध ग्राहक का होता है।
केवल उन्हीं प्रमाणपत्रों का हवाला दें जिनका वर्तमान दायरा ग्राहक के क्लाउड और क्षेत्र को कवर करता हो, और वह भी TRANXACT अनुपालन द्वारा उनकी पुष्टि होने के बाद ही।
कैल्डरवुड के डीपीओ ने पूछा कि पेरोल डेटा लीक होने पर नियामक को कौन सूचित करता है। कैल्डरवुड स्वयं सूचित करता है - नियंत्रक। TRANXACT डीपीए में उल्लिखित संपर्कों के माध्यम से बिना किसी अनावश्यक देरी के कैल्डरवुड को सूचित किया।
इसे अजमाएं कैल्डरवुड अपने पेनिट्रेशन टेस्ट के हिस्से के रूप में "WAF को साबित करने" के लिए उत्पादन का लोड-टेस्ट करना चाहता है। इसका समाधान क्या है?
ग्राहक भेदन परीक्षण के दायरे से बाहर डिनायल-ऑफ-सर्विस और लोड अटैक शामिल हैं। लोड परीक्षण एक अलग प्रक्रिया है: TRANXACT लाइव होने से पहले गैर-उत्पादन प्रणाली पर अधिकतम वॉल्यूम पर एक लोड परीक्षण करता है (TO_4.12.02, मानक), और अतिरिक्त लोड परीक्षण एक अतिरिक्त सेवा है (TO_4.12.03)।