SECURITY / GOVERNANCE
Sicherheit, Daten, Kontinuität und Zuständigkeiten: Grundlagen für einen vertrauenswürdigen Dienst.
Jeder Dienst beginnt mit einem Umfang: Ressourcen, Verwaltung, Daten und Ansprechpartner.
Infrastruktur: Das Angebot definiert Ressourcen, Netzwerk und enthaltene Eingriffe.
Kunde: Anwendungen, Benutzerrechte, Inhalte und Aufbewahrung bleiben unter Ihrer Kontrolle, sofern nicht schriftlich delegiert.
Verwalteter Betrieb: Patches, Monitoring und Wiederherstellung benötigen Zuständigkeit und Verfahren.
Zugriffe bedarfsgerecht, prüfbar und widerrufbar gestalten.
Persönliche Konten, getrennte Rollen und Freigaben privilegierter Zugriffe vorsehen. Geteilte Administratorkonten vermeiden.
MFA, SSO, RBAC und Protokolle: Verfügbarkeit und Integration hängen vom Dienst ab und sind im Umfang zu bestätigen.
Eintritte, Rollenwechsel, Austritte, Schlüsselwiderruf und Notfallzugänge dokumentieren.
Ermitteln, welche Daten wo und zu welchem Zweck verarbeitet werden.
Standort, Unterauftragnehmer, Zugriff und Aufbewahrung des gewählten Dienstes einschließlich Sicherungskopien prüfen.
Transport- und Speicherverschlüsselung sowie Schlüsselverwaltung in der Architektur festlegen; Option und tatsächliche Aktivierung unterscheiden.
Die Datenschutzerklärung erläutert die Datenverarbeitung der Website und Kontaktmöglichkeiten.
Eine Sicherungsrichtlinie wird durch einen Wiederherstellungsnachweis ergänzt.
Datenbestände, Häufigkeit, Aufbewahrung und getrennten Standort wählen. Anwendungsabhängigkeiten und Schlüssel berücksichtigen.
RPO: angestrebter maximaler Datenverlust. RTO: angestrebte Wiederanlaufzeit. Ziele für Ihre Anwendung vereinbaren und testen.
Der Wiederherstellungsbericht sollte Datum, Umfang, Prüfungen und offene Abweichungen enthalten.
Entscheidungen und Kontakte vor dem Notfall vorbereiten.
In einer Anfrage: Dienst, Uhrzeit mit Zeitzone, Symptome, Auswirkungen und bisherige Maßnahmen nennen.
Nützliche Untersuchungsbelege aufbewahren, ohne Passwörter, Tokens oder unnötige personenbezogene Daten zu senden.
Supportzeiten, 24/7-Bereitschaft und Reaktionsfristen sind vertraglich geregelt. Status beschreibt nur dort veröffentlichte Prüfungen.
Eine klare Meldung erleichtert Bewertung und Behebung.
Im Kontaktformular Cybersicherheit wählen. URL oder Dienst, Beschreibung, vermutete Auswirkungen und minimale Reproduktionsschritte angeben.
Keine Geheimnisse ins Formular eintragen. Vor sensiblen Belegen einen geeigneten Kanal anfragen.
Eine Meldung erteilt keine Testgenehmigung. Umfang und Genehmigung eines Pentests separat vereinbaren.
Softwareintegration, Acquiring und Geldverarbeitung unterscheiden.
Der Vertrag definiert Zahlungspartner, Länder, Methoden, Gebühren, Zuständigkeiten und Händleraktivierung.
Kartendaten in Protokollen vermeiden. Erfassungsablauf und PCI-DSS-Umfang mit den Beteiligten festlegen.
Testansichten belegen weder echte Zahlungseingänge noch Zulassung oder vertragliche Befugnis zur Geldverarbeitung.
Zusagen anhand ihrer Dokumente, ihres Umfangs und ihrer Gültigkeit bewerten.
Geltende Bedingungen, Leistungsumfang, Ausschlüsse, Zuständigkeiten und Ausstiegsregelungen anfordern.
Hier wird keine von Complex System erworbene ISO-, SOC- oder PCI-DSS-Zertifizierung oder Zahlungszulassung behauptet.
Der unterzeichnete Vertrag und die Dienstdokumente definieren Zusagen; Konfiguratorentscheidungen bereiten den Umfang vor.
NÜTZLICHE REFERENZEN