Data o vašich rizicích chráníme jako kritické aktivum.
CYBER Manager uchovává registr aktiv, zranitelnosti, incidenty a smluvní vztahy s dodavateli. Pro útočníka jde o informace s vysokou hodnotou. Architektura proto stojí na obraně do hloubky: brána před autentizací zmenšuje útočnou plochu, přístup se ověřuje jednorázovým kódem, data každého klienta běží v izolované instanci a auditní záznamy nejde zpětně měnit.
Přehled kontrol na jednom místě
Podklad pro hodnocení dodavatele, bezpečnostní dotazník nebo registr informací podle DORA.
| Oblast | Řešení v CYBER Manageru |
|---|---|
| Lokalita dat | Datové centrum v Praze, Česká republika |
| Model nasazení | SaaS v našem hostingu, nebo On Premise v infrastruktuře klienta |
| Poskytovatel infrastruktury | Datové centrum s certifikací ISO. Hosting splňuje požadavky DORA na poskytovatele ICT služeb. |
| Fyzická bezpečnost | Mříže, kamerový systém, biometrický přístup, evidence vstupů k serverům a historie serverů. Záznamy doložíme na vyžádání. |
| Expozice do internetu | Brána před autentizací. Neobsahuje data aplikace a zná jen existenci uživatele. |
| Autentizace | Jednorázový kód (OTP) při přihlášení i při podpisu zpráv pro vedení |
| Integrace | Zero Trust: každé napojení se definuje a povoluje výslovně, nic se nedůvěřuje implicitně |
| Oddělení klientů | Samostatná izolovaná instance pro každé IČO (single-tenant) |
| Sdílení ve skupině | Jen na souhlas dceřiné společnosti, v rozsahu jí vybraných modulů. Přes API s náhodným hashovaným odkazem. |
| Řízení oprávnění | Hierarchie rolí a oprávnění uvnitř licence |
| Auditní stopa | Systémový log bez možnosti mazání záznamů |
| Integrita schválení | Podpisový protokol hashovaný a archivovaný ve formátu PDF/A |
| Testování | Pravidelné penetrační testy |
Hosting v Praze s doložitelnými kontrolami
Aplikace běží v datovém centru v Praze. Fyzický přístup k serverům je řízený a evidovaný a záznamy jsou k dispozici pro audit.
- Perimetrová ochrana a kamerový dohled
- Biometrické řízení přístupu
- Evidence vstupů k serverům: kdo a kdy
- Historie serverů
- Záznamy předložíme pro audit nebo hodnocení dodavatele
Certifikace a DORA
Certifikaci ISO drží poskytovatel datového centra. Hosting splňuje požadavky DORA na poskytovatele ICT služeb, takže ho můžete hodnotit jako součást vašeho řízení rizik třetích stran.
Rozlišujeme přesně: certifikovaná je infrastruktura, ve které běžíme. V CREATE jako společnost certifikaci ISO nedeklaruje.
Minimální útočná plocha, výslovná důvěra
Aplikace není z internetu přímo dostupná. Požadavek prochází bránou před autentizací, ověřením jednorázovým kódem a teprve potom se dostane do instance klienta.
Internet
Nedůvěryhodná síť
Pre-auth brána
Bez dat aplikace, zná jen existenci účtu
Ověření OTP
Jednorázový kód pro každé přihlášení
Instance klienta
Přístup podle rolí a oprávnění
Brána před autentizací
Veřejně dostupná je jen brána, která neobsahuje data aplikace. Při kompromitaci nebo odstavení brány nedochází k úniku dat, pouze k nedostupnosti přístupu zvenčí.
Jednorázový kód
Přihlášení se ověřuje jednorázovým kódem (OTP). Stejným mechanismem schvaluje vedení zprávy, bez nutnosti zakládat mu uživatelský účet.
Zero Trust u integrací
Napojení na komunikační nástroje, identity nebo helpdesk se nepovoluje implicitně. Každou integraci výslovně definujeme a schvalujeme.
Samostatná instance pro každé IČO
Data klientů nesdílejí jednu databázi ani jednu instanci. Každá právnická osoba má vlastní izolované prostředí. Ani v rámci skupiny nemá mateřská společnost implicitní přístup k datům dceřiné.
- Single-tenant: izolovaná instance pro každé IČO
- Sdílení ve skupině jen na souhlas dceřiné společnosti
- Rozsah sdílení určuje vlastník dat po jednotlivých modulech
- Synchronizace přes API s náhodně generovaným, hashovaným odkazem
- Uvnitř instance hierarchie rolí a oprávnění
27. 10. 09:1227. 10. 09:2027. 10. 10:04Neměnné záznamy a prokazatelná schválení
Pro audit, kontrolu dohledu i vyšetření incidentu potřebujete vědět, kdo co provedl a kdy, a mít jistotu, že záznam nikdo dodatečně neupravil.
- Systémový log bez možnosti mazání záznamů
- Schválení vedením ověřené jednorázovým kódem
- Podpisový protokol hashovaný kvůli integritě
- Archivace ve formátu PDF/A pro dlouhodobé uchování
Podklady pro hodnocení dodavatele
Pro váš proces due diligence, řízení rizik třetích stran nebo bezpečnostní dotazník.
Penetrační testy
Aplikaci pravidelně penetračně testujeme.
Záznamy z infrastruktury
Evidenci fyzických přístupů k serverům a historii serverů předložíme pro interní audit, externího auditora nebo orgán dohledu.
Bezpečnostní dotazník
Bezpečnostní dotazník vašeho nákupu nebo oddělení řízení rizik projdeme na technické konzultaci.
SaaS v Praze, nebo On Premise
SaaS v našem hostingu
Provoz, aktualizace a správu infrastruktury zajišťujeme my, v certifikovaném datovém centru v Praze. Hosting splňuje požadavky DORA na poskytovatele ICT služeb.
CeníkOn Premise
Pro organizace, jejichž politika vyžaduje provoz ve vlastní infrastruktuře. Technické podmínky nasazení posoudíme s vaším IT a bezpečností.
Poptat On PremiseProjděte architekturu s naším týmem
Technická konzultace pro vaši bezpečnost, IT nebo řízení rizik. Projdeme kontroly, model nasazení i vaše otázky k dodavateli.
Časté otázky z hodnocení dodavatele
V datovém centru v Praze. Pokud vaše politika vyžaduje provoz ve vlastní infrastruktuře, nabízíme nasazení On Premise.
Každé IČO má samostatnou izolovanou instanci. Ve skupině se data sdílejí jen na souhlas dceřiné společnosti a v rozsahu modulů, které sama určí.
Datové centrum je certifikované podle ISO. Certifikaci drží poskytovatel infrastruktury, ne V CREATE jako společnost.
Ano, hosting splňuje požadavky DORA na poskytovatele ICT služeb.
Schválení se ověřuje jednorázovým kódem. Podpisový protokol je hashovaný a archivovaný ve formátu PDF/A. Systémový log nejde mazat.
Ano, aplikaci pravidelně penetračně testujeme.
Bezpečnost je součástí architektury, ne doplněk: certifikované datové centrum, brána před autentizací, ověření jednorázovým kódem a izolovaná instance pro každé IČO. U nástroje, který uchovává informace o vašich rizicích, je to základní požadavek.