Securitate
Securitatea începe înainte de prima linie de cod.
Securitatea unui sistem de afaceri înseamnă să controlăm cine are acces, cum circulă informația și cum putem verifica acțiunile importante. Această pagină explică pe înțelesul conducerii cum integrăm protecția în proiectare, dezvoltare și operare.
Un sistem de afaceri poate conține informații despre clienți, contracte, operațiuni și procese interne. De aceea, securitatea nu este o funcție adăugată la final. O proiectăm împreună cu accesul, datele, infrastructura și modul în care sistemul este folosit.
01
Acces doar acolo unde este necesar
Un proiect nu presupune acces general la companie. Stabilim ce persoane și ce componente au nevoie de acces pentru o sarcină concretă și limităm permisiunile la acel scop. Când accesul nu mai este necesar, îl retragem. Pentru dezvoltare și testare preferăm date de test, anonimizate sau sintetice atunci când situația permite.
02
Datele sunt tratate ca o responsabilitate, nu ca material de lucru
Clarificăm ce informații sunt necesare, unde circulă și cine trebuie să le poată vedea. Nu folosim datele unui client în alte proiecte sau în alte scopuri decât cele convenite cu el și nu le copiem inutil între medii. Separarea mediilor, minimizarea informațiilor și regulile de păstrare se stabilesc în funcție de proiect.
03
Protecție în mai multe straturi
Nu ne bazăm pe o singură parolă sau pe o singură măsură. Proiectăm protecția pe mai multe niveluri: identitate și acces, aplicație, infrastructură, date, copii de siguranță și monitorizare. Măsurile concrete depind de riscurile și cerințele sistemului construit.
04
Trebuie să putem înțelege ce s-a întâmplat
Pentru acțiunile importante proiectăm trasabilitatea: cine sau ce sistem a inițiat o operație, când s-a întâmplat și ce rezultat a produs. Acest lucru ajută la investigarea incidentelor, verificarea schimbărilor și delimitarea responsabilităților. Nivelul de jurnalizare se adaptează datelor și scopului proiectului. Dacă un incident afectează datele unui client, îl informăm fără întârziere.
05
AI-ul primește doar informația și acțiunile permise
Folosirea AI nu trebuie să însemne trimiterea necontrolată a informațiilor companiei către un model. Stabilim ce date pot fi folosite, ce trebuie eliminat, înlocuit, anonimizat sau sintetizat și ce acțiuni poate executa un asistent. Un furnizor extern de AI primește date ale clientului numai cu acordul acestuia. Pentru operații cu efect asupra clienților, documentelor sau sistemelor păstrăm limite și puncte de aprobare potrivite riscului.
06
Verificăm înainte de producție
Modificările importante trec prin verificări înainte să ajungă în mediul de producție. Folosim controale automate și revizuiri pentru a identifica erori, vulnerabilități, dependențe problematice și expunerea accidentală a secretelor. Tipul și profunzimea verificărilor depind de tehnologia și riscul proiectului.
07
Continuitate și recuperare
Securitatea înseamnă și capacitatea de a reveni după o eroare, o modificare greșită sau o indisponibilitate. Stabilim ce trebuie copiat, cât de repede trebuie recuperat și ce pași sunt necesari pentru restaurare. Backup-ul este util numai dacă procesul de recuperare este cunoscut și poate fi verificat.
08
Ce nu promitem
Nu descriem un sistem ca fiind imposibil de atacat și nu folosim certificări sau niveluri de conformitate pe care proiectul nu le-a obținut. Preferăm să explicăm ce măsuri există, de ce există și ce limite au. Cerințele legale, contractuale sau specifice unui domeniu se evaluează separat pentru fiecare proiect. Măsurile concrete pentru fiecare proiect se stabilesc în contract.