Sicherheit ist tägliche Arbeit.

Die Zugriffsprüfung muss Personen, Rollen, erreichbare Systeme und Genehmigungen benennen. Mehrfaktor-Authentisierung, privilegierte Zugriffe, Geheimnisverwaltung und Entzug der Rechte sind zu vereinbaren. Vor der Abnahme sind Konfigurationsnachweise und das letzte Prüfdatum erforderlich.

Für jeden Datenfluss sind Transport- und Speicherverschlüsselung, Geräteverwaltung, Schlüsselverantwortung und Aufbewahrung zu dokumentieren. Protokolle, Sicherungen und Supportzugriffe gehören zum Entwurf. Ausnahmen und Verantwortliche sind festzuhalten; eine Richtlinie allein belegt keine Umsetzung.

Der Prüfaufwand richtet sich nach dem Systemrisiko. Der Leistungsumfang sollte Architekturprüfung, automatisierte Kontrollen, Evaluationsdaten und unabhängige Sicherheits- oder Angriffstests festlegen. Prüfer, Umgebungen, Abnahmekriterien und die Folgen offener Befunde sind zu benennen.

Wo Daten verarbeitet werden dürfen, ist eine Architekturentscheidung, die bei der ersten Überprüfung jedes Mandats getroffen, in das Architekturregister eingetragen und durch den Entwurf und nicht durch ein Richtliniendokument durchgesetzt wird. Das Register nennt das Rechtsgebiet jeder Komponente, die Kundendaten speichert, die Stelle, die sie betreibt, und die Personen, die darauf zugreifen können. Befindet sich eine Komponente in einem Gebiet, das der Kunde nicht ausgewählt hat, ist das Design falsch.

Eine Trennung von Orchestrierung und Kundendaten kann Risiken reduzieren, muss aber geprüft werden. Identitätsdaten, Prompts, Telemetrie und Support können personenbezogene Daten enthalten. Die Architekturprüfung dokumentiert jeden grenzüberschreitenden Fluss und die technischen und vertraglichen Kontrollen.

Schweiz, EU, USA, eigene Infrastruktur und souveräne Clouds sind zu prüfende Optionen. Verfügbarkeit hängt von Komponenten, Lizenzen und Betriebskapazität ab. Vor Freigabe sind Modellaufrufe, Identitätsdienste, Protokolle, Sicherungen und Fernsupport zu erfassen.

Privatsphäre wird entworfen und nicht deklariert. Jeder Auftrag, der personenbezogene Daten betrifft, beginnt mit einer Datenkarte und, wenn die Verarbeitung wahrscheinlich ein hohes Risiko darstellt, einer Datenschutz-Folgenabschätzung, die als Entwurfsdokument und nicht als nachträglicher Compliance-Einfall verfasst wird. Die Bewertung benennt die Zwecke, die Rechtsgrundlagen, die Aufbewahrungsfristen und die Rechte der betroffenen Personen und wird bei Systemänderungen aktualisiert.

Personenbezogene Daten werden an der Grenze minimiert: Bevor sie ein Modell erreichen, werden sie geschwärzt oder pseudonymisiert, es sei denn, der Zweck erfordert etwas anderes, und sie werden niemals zum Trainieren oder Bewerten eines Modells verwendet, das jemand anderem dient. Eingabeaufforderungen, Ausgaben, Transkripte und Aufzeichnungen werden nur für den mit dem Mandat vereinbarten Zeitraum aufbewahrt und der Löschplan wird umgesetzt, getestet und nachgewiesen und nicht beschrieben.

Wenn das Unternehmen personenbezogene Daten im Auftrag eines Kunden verarbeitet, geschieht dies als Auftragsverarbeiter im Rahmen einer Datenverarbeitungsvereinbarung, in der die Unterauftragsverarbeiter, die Gebiete, die Sicherheitsmaßnahmen und die Prüfungsrechte aufgeführt sind. Wenn das Unternehmen der Verantwortliche ist, wie es bei über diese Website gesendeten Anfragen der Fall ist, wird die Verarbeitung in der Datenschutzerklärung vollständig erläutert.

Erstellen Sie ein Verzeichnis der Anbieter für Hosting, Modelle, Identität, Kommunikation und Support. Erfassen Sie Rolle, Zweck, Gebiete, weitere Anbieter und vertragliche Schutzmassnahmen. Vereinbaren Sie Prüfung und Mitteilung von Änderungen. Fordern Sie das ausgefüllte Verzeichnis vor der Datenweitergabe an; diese Website belegt kein bereits bestehendes Projektverzeichnis.

Vor der Weitergabe von Kundendaten müssen Anbieter, Zweck, Verarbeitungsorte und vertragliche Schutzmassnahmen benannt sein. Ein leeres Register belegt nicht, dass keine Dritten beteiligt sind.

Die Vorfallplanung sollte Kontakte, Schweregrade, Meldepflichten und Wiederherstellungsschritte benennen. Der Plan muss letzte Tests und offene Punkte dokumentieren.

Kunden werden über Vorfälle, die ihre Daten betreffen, innerhalb der in ihrer Vereinbarung festgelegten Frist und in jedem Fall innerhalb der durch das geltende Recht vorgeschriebenen Frist mit dem, was bekannt ist, was noch nicht bekannt ist und was unternommen wird, benachrichtigt. Wenn eine Verletzung des Schutzes personenbezogener Daten einer Aufsichtsbehörde gemeldet werden muss, untermauert das Unternehmen die Meldung des Kunden mit den erforderlichen Beweisen. Jeder Vorfall endet mit einer schriftlichen Überprüfung, die dem betroffenen Kunden vorgelegt wird und in der die Ursache und die Änderung genannt werden, die ein erneutes Auftreten verhindert.

Der Vertrag muss Verantwortliche, verfügbare Vertretung, Zugänge und Übergabepflichten benennen. Besetzung und Kontinuität hängen vom Umfang ab und müssen vor Beginn belegt werden.

Sicherungsorte, Wiederherstellungsziele und Tests sind je System zu dokumentieren. Ein zweiter Anbieter oder Standort wird nur genutzt, wenn vereinbarte Sicherheits- und Datenstandortvorgaben dies erlauben.

Der Ausstieg steht zu Beginn jedes Engagements an erster Stelle. Quellen, Modelle, Eingabeaufforderungen, Indizes, Dokumentationen und Daten werden auf Anfrage und am Ende in offenen Formaten bereitgestellt; es wird eine Übergangsfrist zu den bestehenden Konditionen angeboten; und die Löschung der Firmenkopien wird schriftlich bestätigt.

Anwendbare Pflichten hängen von Kunde, Nutzung und Rechtsräumen ab. Die Beschaffungsprüfung muss Gesetze und Aufsichtsanforderungen identifizieren, den Kontrollen zuordnen und Nachweise sowie Lücken dokumentieren. Die Nennung eines Regelwerks belegt weder Konformität noch Zertifizierung.

Frameworks werden hier namentlich und verpflichtend aufgeführt. Das Unternehmen erhebt keinen Anspruch auf eine Zertifizierung, die es nicht besitzt, und der unten stehende Zertifizierungsabschnitt wird aus den Akten und nicht aus Ehrgeiz ausgefüllt.