La maggior parte dei controlli è integrata in TRANXACT o proviene dai servizi nativi del fornitore di servizi cloud. Quelli che non funzionano nella pratica sono quelli che il cliente deve attivare manualmente, perché nessun altro lo farà.
| Controllare | Parte del cliente |
|---|---|
| SSO e MFA | Gli account e la policy MFA risiedono nell'IdP del cliente (PLAT_5.6.02). TRANXACT configura la federazione. |
| SIEM | L'esportazione dei log è facoltativa (TO_4.6.02); la gestione del SIEM e dei relativi casi d'uso è a carico del cliente (TO_4.6.03). |
| chiavi gestite dal cliente | Opzionale (TO_4.5.10); le procedure chiave relative al ciclo di vita, alla rotazione e alle emergenze sono a carico del cliente (TO_4.5.11). |
| Classificazione dei dati | Il cliente classifica i dati personali e regolamentati e decide in merito alla conservazione e al vincolo legale. |
| Ricertificazione dell'accesso | Periodico e del cliente (PLAT_5.6.04). |
| elevazione dell'operatore | Il cliente lo approva, così come qualsiasi accesso ai dati di produzione controfirmato (TO_4.5.05). |
Chiavi
TLS 1.2+ in transito; AES-256 a riposo per database, object storage e backup; un archivio di segreti gestito; chiavi KMS cloud gestite da TRANXACT senza accesso in lettura per l'operatore e chiavi del vault conservate separatamente. Sono disponibili opzioni per chiavi gestite dal cliente, certificati forniti dal cliente e BYOK per ASK.
Con le chiavi gestite dal cliente, la revoca della chiave rende TRANXACT non disponibile. Concordare congiuntamente le procedure di rotazione e di emergenza prima della messa in funzione.
Applicazione delle patch (impostazione predefinita proposta)
| CVSS | Bersaglio | Avviso |
|---|---|---|
| Critico 9.0–10 | Percorso di emergenza, non appena sarà disponibile una soluzione testata. | Immediatamente, se è necessario un periodo di inattività |
| Alto 7,0–8,9 | Prossima finestra di manutenzione | Note di rilascio |
| Medio 4.0–6.9 | Entro 30 giorni | Note di rilascio |
| Basso, inferiore a 4.0 | Prossima data di rilascio prevista | Note di rilascio |
Una violazione dei dati personali
TRANXACT è il responsabile del trattamento: conferma la violazione, notifica al cliente senza indebito ritardo come previsto dal DPA, condivide le informazioni note e le azioni intraprese e mantiene la comunicazione aggiornata. Il cliente è il titolare del trattamento: valuta il rischio per gli interessati, notifica all'autorità di controllo e agli interessati, ove richiesto, e registra la violazione nel proprio registro.
Test di penetrazione del cliente
Accordo di riservatezza (NDA); richiesta con 2 settimane di anticipo (un servizio aggiuntivo per il coordinamento); concordare l'ambito; testare prima l'ambiente non di produzione aggiornato con mascheramento — l'ambiente di produzione richiede un'approvazione esplicita e una finestra temporale specificata; condividere i risultati; risolvere congiuntamente. Sono esclusi dall'ambito: attacchi denial of service e di carico, l'infrastruttura del fornitore di servizi cloud, altri tenant, l'account vault e gli strumenti condivisi, e le azioni di ingegneria sociale nei confronti del personale di TRANXACT.
CHIEDERE
ASK agisce tramite le API proprietarie di TRANXACT con la sessione dell'utente, quindi ogni regola di pubblicazione, autorizzazione e voce del registro di controllo viene applicata come se l'utente avesse cliccato. Per ogni cliente: il livello del motore e la regione di elaborazione, BYOK o meno, quali ruoli possono utilizzare ASK e i budget di utilizzo. Le policy e i budget dei ruoli sono quelli del pacchetto G1 o quelli del cliente; il contratto del fornitore di IA in base a BYOK è quello del cliente.
Si prega di citare solo le certificazioni il cui ambito attuale copre il cloud e la regione del cliente, e solo dopo che la conformità TRANXACT le abbia confermate.
Il responsabile della protezione dei dati (DPO) di Calderwood chiede chi informi l'autorità di controllo in caso di fughe di dati relativi alle buste paga. La risposta è Calderwood stessa: è il titolare del trattamento. TRANXACT informa Calderwood senza indugio e tramite i contatti indicati nell'accordo sul trattamento dei dati (DPA).
Provalo Calderwood vuole eseguire test di carico sulla produzione per "dimostrare il WAF" (Wife Application Factor) nell'ambito del suo penetration test. Qual è la soluzione?
Gli attacchi denial-of-service e di carico non rientrano nell'ambito di un penetration test per un cliente. Il test di carico è un'attività a sé stante: TRANXACT ne esegue uno su un ambiente non di produzione al picco di traffico prima del lancio (TO_4.12.02, Standard), e ulteriori test di carico sono un Servizio Aggiuntivo (TO_4.12.03).