बहुतांश नियंत्रणे TRANXACT मध्येच अंतर्भूत असतात किंवा क्लाउड प्रोव्हायडरच्या मूळ सेवांमधून येतात. जी नियंत्रणे प्रत्यक्षात अयशस्वी ठरतात, ती ग्राहकाला स्वतःच चालू करावी लागतात, कारण दुसरे कोणीही ते करणार नाही.
| नियंत्रण | ग्राहकाचा भाग |
|---|---|
| एसएसओ आणि एमएफए | खाती आणि MFA पॉलिसी ग्राहकाच्या IdP (PLAT_5.6.02) मध्ये असतात. TRANXACT फेडरेशन स्थापित करते. |
| SIEM | लॉग निर्यात करणे ऐच्छिक आहे (TO_4.6.02); SIEM चालवणे आणि त्याचे उपयोग ग्राहकाचे आहेत (TO_4.6.03). |
| ग्राहक-व्यवस्थापित चाव्या | ऐच्छिक (TO_4.5.10); मुख्य जीवनचक्र, रोटेशन आणि आपत्कालीन प्रक्रिया ग्राहकाच्या आहेत (TO_4.5.11). |
| डेटा वर्गीकरण | ग्राहक वैयक्तिक आणि नियंत्रित डेटाचे वर्गीकरण करतो आणि तो राखून ठेवण्याबाबत व कायदेशीररित्या सुरक्षित ठेवण्याबाबत निर्णय घेतो. |
| प्रवेश पुन:प्रमाणन | नियतकालिक, आणि ग्राहकाचे (PLAT_5.6.04). |
| ऑपरेटरची उंची | ग्राहक यास मान्यता देतो, आणि उत्पादन डेटासाठी कोणताही सह-स्वाक्षरी केलेला प्रवेश (TO_4.5.05). |
चाव्या
ट्रान्झिटमध्ये TLS 1.2+; डेटाबेस, ऑब्जेक्ट स्टोरेज आणि बॅकअपसाठी रेस्टमध्ये AES-256; एक व्यवस्थापित सिक्रेट्स स्टोअर; TRANXACT द्वारे व्यवस्थापित क्लाउड KMS कीज, ज्यांना ऑपरेटरचा रीड ॲक्सेस नाही आणि स्वतंत्रपणे ठेवलेल्या व्हॉल्ट कीज. ग्राहक-व्यवस्थापित कीज, ग्राहकाने पुरवलेली प्रमाणपत्रे आणि ASK साठी BYOK हे पर्याय आहेत.
ग्राहक-व्यवस्थापित कीजच्या बाबतीत, की रद्द केल्याने TRANXACT अनुपलब्ध होते. प्रत्यक्ष अंमलबजावणीपूर्वी रोटेशन आणि आपत्कालीन कार्यपद्धतींवर एकत्रितपणे सहमत व्हा.
पॅचिंग (प्रस्तावित डीफॉल्ट)
| सीव्हीएसएस | लक्ष्य | सूचना |
|---|---|---|
| गंभीर ९.०–१० | आपत्कालीन मार्ग, चाचणी केलेला उपाय उपलब्ध होताच. | डाउनटाइमची आवश्यकता असल्यास, तात्काळ. |
| उच्च ७.०–८.९ | पुढील देखभाल कालावधी | प्रकाशन नोट्स |
| मध्यम ४.०–६.९ | ३० दिवसांच्या आत | प्रकाशन नोट्स |
| ४.० च्या खाली कमी | पुढील नियोजित प्रकाशन | प्रकाशन नोट्स |
वैयक्तिक डेटा उल्लंघन
ट्रॅनएक्सॅक्ट (TRANXACT) हा प्रोसेसर आहे: तो उल्लंघनाची पुष्टी करतो, डेटा संरक्षण कायद्यानुसार (DPA) ग्राहकाला विनाकारण विलंब न लावता सूचित करतो, काय ज्ञात आहे आणि काय केले गेले आहे याची माहिती देतो, आणि सतत अद्ययावत करत राहतो. ग्राहक हा कंट्रोलर आहे: तो डेटा धारकांना असलेल्या धोक्याचे मूल्यांकन करतो, आवश्यकतेनुसार पर्यवेक्षी प्राधिकरणाला आणि डेटा धारकांना सूचित करतो, आणि आपल्या स्वतःच्या नोंदवहीमध्ये उल्लंघनाची नोंद करतो.
ग्राहकाची भेदक चाचणी
NDA; २ आठवडे आधी विनंती (समन्वयासाठी एक अतिरिक्त सेवा); व्याप्ती निश्चित करणे; प्रथम मास्किंगसह रिफ्रेश केलेल्या नॉन-प्रोडक्शनची चाचणी घेणे — प्रोडक्शनसाठी स्पष्ट मंजुरी आणि एक निश्चित कालावधी आवश्यक आहे; निष्कर्ष सामायिक करणे; एकत्रितपणे उपाययोजना करणे. व्याप्तीबाहेरचे विषय: डिनायल ऑफ सर्व्हिस आणि लोड हल्ले, क्लाउड प्रोव्हायडरची पायाभूत सुविधा, इतर टेनंट्स, व्हॉल्ट अकाउंट आणि सामायिक साधने, आणि TRANXACT कर्मचाऱ्यांचे सोशल इंजिनिअरिंग.
विचारा
ASK हे वापरकर्त्याच्या सेशनसह TRANXACT च्या स्वतःच्या API द्वारे कार्य करते, त्यामुळे प्रत्येक पोस्टिंग नियम, परवानगी आणि ऑडिट-लॉग एंट्री अशी लागू होते जणू काही वापरकर्त्याने क्लिक केले आहे. प्रत्येक ग्राहकानुसार: इंजिन टियर आणि प्रोसेसिंग रीजन, BYOK आहे की नाही, कोणत्या भूमिका ASK वापरू शकतात, आणि वापरासाठीचे बजेट. रोल पॉलिसी आणि बजेट हे G1 पॅकेजचे किंवा ग्राहकाचे असतात; BYOK अंतर्गत AI प्रोव्हायडरचा करार ग्राहकाचा असतो.
ज्या प्रमाणपत्रांची सध्याची व्याप्ती ग्राहकाच्या क्लाउड आणि प्रदेशाला व्यापते, केवळ त्याच प्रमाणपत्रांचा उल्लेख करा, आणि तेही TRANXACT अनुपालन विभागाने पुष्टी केल्यानंतरच.
कॅल्डरवुडचे DPO विचारतात की, पेरोल डेटा लीक झाल्यास नियामकाला कोण कळवते. कॅल्डरवुड कळवते — ते म्हणजे कंट्रोलर. TRANXACT, कोणताही विनाकारण विलंब न लावता आणि DPA मध्ये नमूद केलेल्या संपर्कांमार्फत कॅल्डरवुडला कळवते.
हे वापरून पहा कॅल्डरवूडला त्यांच्या पेनिट्रेशन टेस्टचा भाग म्हणून 'WAF सिद्ध करण्यासाठी' उत्पादनाची लोड-टेस्ट करायची आहे. याचे उत्तर काय आहे?
डिनायल-ऑफ-सर्व्हिस आणि लोड अटॅक्स हे कस्टमर पेनिट्रेशन टेस्टच्या व्याप्तीबाहेर आहेत. लोड टेस्टिंग ही एक वेगळी बाब आहे: TRANXACT गो-लाइव्ह होण्यापूर्वी, पीक व्हॉल्यूमच्या वेळी नॉन-प्रोडक्शनवर एक लोड टेस्टिंग चालवते (TO_4.12.02, स्टँडर्ड), आणि पुढील लोड टेस्ट्स ही एक अतिरिक्त सेवा आहे (TO_4.12.03).