Uitlijning van het compliancekader
Geen enkele referentiearchitectuur is automatisch compatibel met of gecertificeerd tegen SOC 2, HIPAA, GDPR, CCPA, PCI DSS, FedRAMP of een ander raamwerk. De klant moet de toepasselijke verplichtingen, gegevensklassen, controle-eigenaren en bewijsvereisten identificeren met gekwalificeerde beoordelaars en adviseurs. Een opdracht kan architectuur- en implementatiewerkzaamheden in overeenstemming brengen met die vereisten, maar de conclusies over naleving zijn afhankelijk van de feitelijke omgeving, activiteiten, contracten en bewijsmateriaal.
Gegevensversleuteling en transitbeveiliging
Encryptie en sleutelbeheer worden geselecteerd voor de doelomgeving en gedocumenteerd in het beveiligingsontwerp van de opdracht. Gebruik momenteel goedgekeurde protocollen en algoritmen, scheid vertrouwensgrenzen waar het risicomodel dit vereist, en definieer sleuteleigendom, toegang, rotatie, back-up en intrekking. Concludeer niet dat een lokale of air-gapped topologie op zichzelf veilig is; de lokale sleutel- en update-infrastructuur moet ook worden beoordeeld en getest.
Auditregistratie en bewijsmateriaal
Definieer voor welke gebeurtenissen een beslissingsrecord nodig is en leg de identiteit van de actor, de autorisatiecontext, actie, doel, tijdstempel, bronreferenties, goedkeuringen, verificatie en uitkomst vast, indien van toepassing. Verborgen modelredeneringen zijn geen betrouwbare controle-informatie. Integriteitsbescherming, retentie, redactie en export naar de SIEM- of governancetools van de klant zijn implementatiespecifieke controles. Bewijsformaten moeten worden overeengekomen met de controle-eigenaren of beoordelaar van de klant; ActiveMotion claimt geen kant-en-klare auditorrapporten.
Toegangscontrole en scheiding
Toegangscontrole moet betrekking hebben op configuratie, integraties, beleid, operationele gegevens en implementatieacties. Gebruik scoped-identiteiten en afzonderlijke taken volgens het risicomodel van de klant. Als er voor een ontwerp met meerdere tenants wordt gekozen, moet voor die implementatie isolatie op opslag-, netwerk-, identiteits- en rekenlagen worden aangetoond. Goedkeuringsvereisten voor geprivilegieerde wijzigingen horen thuis in het wijzigingsproces van de klant en moeten worden getest.