Eindeutige Identität
Vorgesehenes Sicherheits- und Architekturprinzip; konkrete Kontrollen sind separat zu dokumentieren.
SICHERHEIT DURCH KLARE GRENZEN
Sicherheit beginnt mit klaren Grenzen.
BLUETRIX richtet Sicherheitsmechanismen an Identitäten, Rollen, Ressourcen, fachlicher Ownership und dem jeweiligen Interaktionskontext aus. So soll nicht nur der technische Zugriff kontrolliert werden, sondern auch, ob eine Aktion fachlich zulässig und autorisiert ist.
Sicherheitsprinzipien
Architekturprinzipien statt pauschaler Implementierungsaussagen.
Minimale Berechtigungen
Vorgesehenes Sicherheits- und Architekturprinzip; konkrete Kontrollen sind separat zu dokumentieren.
Funktionstrennung
Vorgesehenes Sicherheits- und Architekturprinzip; konkrete Kontrollen sind separat zu dokumentieren.
Mehrschichtige Verteidigung
Vorgesehenes Sicherheits- und Architekturprinzip; konkrete Kontrollen sind separat zu dokumentieren.
Sichere Voreinstellungen
Vorgesehenes Sicherheits- und Architekturprinzip; konkrete Kontrollen sind separat zu dokumentieren.
Nachvollziehbarkeit
Vorgesehenes Sicherheits- und Architekturprinzip; konkrete Kontrollen sind separat zu dokumentieren.
Identität und Zugriff
Autorisierung berücksichtigt fachlichen Kontext.
Ein erfolgreicher Login allein berechtigt nicht automatisch zu jeder Aktion.
- Identität des Akteurs
- Arbeitsbereichs- oder Organisationskontext
- Rolle und Mitgliedschaft
- betroffene Ressource
- angeforderte Aktion
- fachliche Verantwortung
- Prozessstatus
- Datenklassifikation
- delegierte Berechtigungen
- notwendige Freigaben
Organisatorische Grenzen
Grenzen von Arbeitsbereichen und Organisationen.
Zu prüfende beziehungsweise vorgesehene Prinzipien; keine Zusage vollständiger Mandantenisolation.
- eindeutige Zuordnung zum Arbeitsbereich
- kontrollierte Ressourcenfreigabe
- Autorisierungsprüfung
- definierte Mitgliedschaften
- administrative Rollen
- nachvollziehbare Änderungen an Zugriffsrechten
Technische Schutzbereiche
Zu prüfende und zu dokumentierende Bereiche.
Nicht belegte Mechanismen werden nicht als implementiert dargestellt.
- Schutz bei Übertragung
- Schutz gespeicherter Daten
- Produktionszugriffe
- Verwaltung von Geheimnissen und Zugangsdaten
- Sicherungen und Wiederherstellung
- Protokollierung und Überwachung
- Datenlöschung
- sichere Exporte
- Trennung von Umgebungen
Sichere Schnittstellen und Entwicklung
Anforderungen an Entwicklung und Betrieb.
- Authentifizierung und Autorisierung
- Eingabevalidierung
- Ratenbegrenzungen und Wiederholungsschutz
- Herkunftsprüfung und Idempotenz
- Fehlerbehandlung und Protokollierung
- Codeprüfung und Abhängigkeitsmanagement
- Schwachstellenmanagement
- kontrollierte Veröffentlichungen und Befunde
Audit
Nachvollziehbarkeit sicherheitsrelevanter Aktionen.
Interaktionschronik, technische Protokollierung und Sicherheitsaudit sind getrennte Informationsbereiche.
- Wer löste die Aktion aus?
- In welchem Arbeitsbereich?
- Welche Ressource war betroffen?
- Welche Berechtigung wurde verwendet?
- Welche Zustandsänderung entstand?
- Welche Automatisierung oder welcher Agent war beteiligt?
- Welche Freigabe lag vor?
- Welche Folgeereignisse entstanden?
Vorfallbereitschaft
Ein Prozess ohne erfundene SLAs.
- 1Erkennung und Meldung
- 2Klassifikation
- 3Eingrenzung
- 4Untersuchung
- 5Behebung
- 6Wiederherstellung
- 7erforderliche Kommunikation
- 8Nachbereitung
Sicherheitsstatus: Implementierte Kontrollen, Verbesserungen, Maßnahmen, Prüfungen, Nachweise, Einschränkungen und Aktualisierungen müssen mit realen Statusdaten dokumentiert werden. Diese Seite erfindet keine Statuswerte.
Sicherheitsfragen verdienen konkrete Antworten.
Fordere aktuell verfügbare Informationen zu Architektur, Kontrollen und Verantwortlichkeiten an.