Selgitage ülesanne ja otsus
See juhend muudab välise õhupakkuja hindamise ülevaatavaks töövooks. See ühendab domeeniotsused, omandiõiguse, tõendid ja aktsepteerimise, nii et tulemus töötab tootmises edasi.
Enne teenusepakkuja kinnitamist kaardistage täielik andmevoog, koolituskasutus, edastused, logid, muudatuste juhtelemendid ja väljumistee.
Praktiline töövoog
- 1
Joonistage andmevoog kogumisest kuni töötlemise, logide, vahemälu, toe, varundamise ja kustutamiseni.
- 2
Klassifitseerige iga andmekategooria ja ühendage see eesmärgi, juriidilise rolli, asukoha, saaja ja säilitamisega.
- 3
Taotlege iga olulise nõude jaoks arhitektuuri-, lepingulisi, toimimis- ja testimistõendeid.
- 4
Hinnake riske ja registreerige vajalikud kontrollid, omanikud, aktsepteerimise tõendid ja jääkrisk.
- 5
Kinnitage ainult dokumenteeritud konfiguratsioon, seejärel jälgige alamprotsessoreid, intsidente, muudatusi ja kustutamise tõendeid.
Näide või tööriist
Kaalutud riskiskoor muudab pakkuja vastused ja tõendid heakskiitmise tingimuseks. Tööriistas registreerige ka lähteseisund, omanik, otsus, tõendid, avatud probleem ja kinnitamise kuupäev. Kasutage päris lehte või tehingut, et meeskond näeks sõltuvusi, erandeid ja väljalaskmisele järgnevat hooldustööd.
| Otsustuspunkt | Salvestus | Vastuvõtmise kriteerium |
|---|---|---|
| Lähtejoon | Täheldatud hetkeseisu | Allikas ja salvestamise kuupäev |
| Otsus | Valitud variant ja põhjendus | Arvestatud on riski ja publikuga |
| Tõendid | Testige, dokumenteerige või mõõtke | Ülevaatav ja versioonipõhine |
| Heakskiit | Nimi, roll ja kuupäev | Kõik kohustuslikud kriteeriumid on täidetud |
Kaardiandmed, eesmärk ja pakkuja käitumine
Kirjeldage tüüpilisi sisendeid, manuseid, väljundeid, metaandmeid, kasutajatunnuseid ja halduskirjeid. Jälgige neid järelduste, filtreerimise, logimise, toe, hindamise ja kustutamise kaudu. Diagramm peaks eristama kliendi juhitavat konfiguratsiooni pakkuja vaikeseadetest.
Küsige, kas sisu kasutatakse koolituseks, inimeste ülevaatamiseks, väärkasutuse tuvastamiseks, võrdlusuuringuks või mudeli täiustamiseks. Salvestage vastus iga tootetaseme ja funktsiooni kohta, sest ettevõtte lõpp-punktid, tarbijaliidesed, valikulised tagasiside tööriistad ja eelvaatefunktsioonid järgivad sageli erinevaid reegleid.
Testige tavalisi, tundlikke ja juhuslikke sisestusstsenaariume.
Tuvastage kõik tuletatud kirjed ja adressaadid.
Kontrollige koolitust ja vaadake sätteid lepingus ja konsoolis.
Salvestage toote versioon, plaan, piirkond ja hindamiskuupäev.
Kontrollige ülekandeid ja kaugjuurdepääsu
Loetlege töötlemis- ja juurdepääsuriigid põhiteenuse, alamprotsessorite, toe, turbetoimingute, varukoopiate ja avariitaaste jaoks. Ülemaailmse privaatsusavalduse aktsepteerimise asemel hinnake edastusmehhanisme ja täiendavaid meetmeid tegelike andmete ja juurdepääsumudeli alusel.
Kaugtugi võib luua ülekande isegi siis, kui salvestusruum jääb kohalikuks. Erakorraliseks juurdepääsuks on vaja rollijuhte, heakskiitu, tähtaegu, logimist ja klientide teavitamist. Tehke kindlaks, kes omab krüpteerimisvõtmeid ja kas teenusepakkuja võib loetavat sisu avaldada.
- 1
Viige asukoha väited kokku arhitektuuri ja alamprotsessori tõenditega.
- 2
Vaadake üle valitsuse juurdepääsu ja läbipaistvuse teave.
- 3
Kontrollige, kas juurdepääsu tugi võib olla piirkonnapiiranguga.
- 4
Dokumenteerige heakskiidetud erandid ja kompenseerivad kontrollid.
Hinda tegevus- ja muutusriski
Kasutage andmete tundlikkuse, teenuse kriitilisuse, tarnija kontrolli küpsuse, ülekande kokkupuute, lukustuse ja tõendite kvaliteedi jaoks eraldi punkte. Säilitage kohustuslikud nõuded väravatena, sest tugev keskmine ei tohi kompenseerida keelatud treeningu kasutamist ega vastuvõetamatut töötlemiskohta.
Hinnake mudeli muudatusi, väljundi triivi, saadavust, kiiruse piiranguid, modereerimise muudatusi ja kulumist. Nõuavad etteteatamisperioode, versiooni kinnitamist, kui see on saadaval, hindamist enne versiooniuuendusi, ekspordivõimalust ja väljumisplaani, mis hõlmab viipasid, sõnastikke, logisid ja integratsioone.
Enne tarnijate ülevaatamist määrake läbipääsu-ebaõnnestumise väravad.
Kaalutõendite kvaliteeti, mitte esitluse kvaliteeti.
Testige tüüpilist töökoormust ja tõrkerežiime.
Kulutage ja harjutage usaldusväärset asendusteed.
Kinnitage piiratud kasutusjuhtum ja jälgige seda
Heakskiit peab sisaldama lubatud andmeid, kasutajaid, funktsioone, integratsioone, piirkondi, säilitamist ja nõutavaid seadeid. Teisendage tingimused juurdepääsukontrolliks, andmekao vältimiseks, kasutajajuhisteks, jälgimiseks ja lepingulisteks kohustusteks. Brändinime laialdane heakskiit ei ole kasutatav kontroll.
Jälgige alamprotsessori teateid, poliitikamuudatusi, turbesündmusi, mudeli väljalaseid, kulutusi, andmemustreid ja väljundkvaliteeti. Uuesti hinnata pärast materjali vahetust ja kindla intervalliga. Hoidke praegust tõendusmaterjali, et juhtkond saaks selgitada, miks teenus on endiselt vastuvõetav.
- 1
Avaldage lubatud kasutuspiir lihtsas töökeeles.
- 2
Rakendage vajalikud seaded keskhalduse kaudu.
- 3
Nimetatud omanikega saate märguandeid ja tarnijate muudatusi vaadata.
- 4
Peatage mõjutatud kasutused, kui kohustuslik tingimus ebaõnnestub.
Testige teenust kontrollitud hindamispaketiga
Enne pakkuja valimist koostage esinduslikest ülesannetest hindamispakett. Kaasake tavalist sisu, tundlikke piirjuhtumeid, pikki dokumente, tabeleid, vastuolulisi juhiseid, terminoloogianõudeid, toetamata päringuid ja katseid avaldada süsteemi- või klienditeavet. Määratlege iga juhtumi puhul eeldatav käitumine, vastuvõetamatu käitumine, ülevaataja juhised ja raskusaste. Käivitage sama pakett täpse tootetaseme, piirkonna, mudeli versiooni, ohutuskonfiguratsiooni ja tootmiseks pakutud integratsioonimustri vastu.
Jäädvustage täielikud taotlused, vastused, ajatemplid, seaded, latentsusaeg, märgi või tähemärgi kasutamine, keeldumiskäitumine, tsitaadid ja arvustajate hinded. Variatsiooni jälgimiseks korrake proovi. Pakkuja ei tohiks saada kõrget skoori, sest üks hoolikalt valitud vastus näeb hea välja. Mõõtke järjepidevust, parandustegevust, rikete tuvastatavust ja seda, kas logid sisaldavad materjali, mida poliitika kohaselt ei säilitata.
Käsitle hindamist säilitatud kontrollina. Pärast mudeli, viipa, filtri, piirkonna või pakkuja muudatusi käivitage kriitilised juhtumid uuesti ja võrrelge heakskiidetud lähtetasemega. Määrake peatamistingimused tõsiste privaatsus-, turva-, fakti- või diskrimineerimisprobleemide korral. Hoidke hindamisandmed kaitstud, kuna need võivad sisaldada realistlikke tundlikke stsenaariume, ja eraldage need materjalist, mida pakkuja võib toote täiustamiseks kasutada.
Kasutage täpselt lepinguga sõlmitud toodet, mudelit, piirkonda ja sätteid.
Enne tulemuste vaatamist määratlege eeldatav ja keelatud käitumine.
Mõõtke järjepidevust, parandustööd, logimist ja tegevuskulusid.
Korrake kriitilisi juhtumeid pärast iga materiaalse teenuse muudatust.
Rollid, tõendid ja heakskiit
Turvalisuse ja privaatsuse ülevaated peavad kirjeldama pigem tootmiskonfiguratsiooni kui üldist pakkujat. Salvestage täpne teenus, piirkond, funktsioonide lipud, valikuline telemeetria, tugijuurdepääs, alamprotsessorid, krüpteerimispiirid, säilitusseaded ja kliendi kohustused. Pärast materiaalse arhitektuuri, lepingu, pakkuja või eesmärgi muutumist hinnake uuesti ja hoidke otsus seotuna läbivaadatud tõenditega.
Toimingud ja hooldus
Töö avaldamisega ei lõpe. Linkige keeleversioon või konfiguratsioon selle allikaga, jälgige kvaliteedi- ja teenindusmeetmeid ning määrake konkreetsed ülevaatuse käivitajad. Käivitajad hõlmavad allikamuudatusi, juriidilisi muudatusi, uusi vaatajaskonna vajadusi, korduvaid tugiküsimusi, tehnilisi muudatusi ja vahejuhtumeid. Nimega omanik hindab päästikut, avab vajaduse korral uue versiooni ja registreerib uuendatud kinnituse.
Avaldamise kontrollnimekiri
Täielik töötlemistee on dokumenteeritud.
Vastutava töötleja ja töötleja rollid on kokku lepitud.
Asukohad ja alamprotsessorid on tõendatud.
Selgelt käsitletakse koolitust ja teisest kasutamist.
Juurdepääsu, krüptimise, logimise ja juhtumite juhtelemendid on kinnitatud.
Säilitamine ja kustutamine on määratletud andmekategooriate kaupa.
Rahvusvahelised ülekanded ja kaitsemeetmed on dokumenteeritud.
Määratakse muudatused, auditid, väljumine ja tõendite omandiõigus.