Verduidelijk de taak en het besluit
Deze gids verandert het beoordelen van door Duitsland gehoste modellen in een controleerbare operationele workflow. Het verbindt domeinbeslissingen, eigendom, bewijsmateriaal en acceptatie, zodat het resultaat blijft werken in de productie.
Verifieer elke verwerkingslocatie en operator met architectuurbewijs in plaats van een regionaal hostinglabel te accepteren.
Praktische werkwijze
- 1
Teken de gegevensstroom van verzameling tot verwerking, logs, cache, ondersteuning, back-up en verwijdering.
- 2
Classificeer elke gegevenscategorie en koppel deze aan doel, juridische rol, locatie, ontvanger en bewaring.
- 3
Vraag architectuur-, contract-, operationeel en testbewijs aan voor elke materiële claim.
- 4
Scoor risico's en leg de vereiste controles, eigenaren, acceptatiebewijs en restrisico vast.
- 5
Keur alleen de gedocumenteerde configuratie goed en controleer vervolgens subverwerkers, incidenten, wijzigingen en verwijderingsbewijs.
Voorbeeld of hulpmiddel
Een bewijskaart koppelt elke gegevensstroom aan provider, locatie, doel, bewaring en contract. Leg in de tool ook de uitgangssituatie, de eigenaar, het besluit, het bewijsmateriaal, het openstaande probleem en de goedkeuringsdatum vast. Gebruik een echte pagina of transactie zodat het team afhankelijkheden, uitzonderingen en het onderhoudswerk dat volgt op de release ziet.
| Beslissingspunt | Dossier | Acceptatiecriterium |
|---|---|---|
| Basislijn | Huidige staat waargenomen | Bron en datum vastgelegd |
| Beslissing | Geselecteerde optie en reden | Er wordt rekening gehouden met risico en publiek |
| Bewijs | Test, documenteer of meet | Reviewbaar en versiespecifiek |
| Goedkeuring | Naam, rol en datum | Er werd aan alle verplichte criteria voldaan |
Definieer wat door Duitsland gehost moet betekenen
Een geloofwaardige hostingclaim heeft betrekking op de volledige verwerkingsketen, niet alleen op het adres van de applicatieserver. Document waar aanwijzingen, geüploade bestanden, gegenereerde tekst, logboeken, back-ups, ondersteuningskopieën, monitoringgegevens en modeltelemetrie worden verwerkt en opgeslagen. Neem tijdelijke verwerkings- en noodherstellocaties op, omdat beide gegevens buiten de beoogde grens kunnen verplaatsen.
Scheid contractuele verplichtingen van de technische configuratie. Een regiokiezer is nuttig bewijs, maar is geen garantie dat ondersteunend personeel, subprocessors of failover-services in Duitsland blijven. Vereisen een ondertekende beschrijving van de servicegrens, benoemde faciliteiten of cloudregio's, en een verplichting tot het melden van wijzigingen die gedurende de gehele contracttermijn geldt.
Gebruik een nauwkeurige interne definitie, zoals: alle klantinhoud en van inhoud afgeleide operationele gegevens worden verwerkt in Duitse datacenters, zonder externe toegang van buiten het goedgekeurde gebied, tenzij de klant een gedocumenteerde uitzondering toestaat. Deze definitie geeft aanbestedings-, beveiligings- en juridische beoordelaars één toetsbare standaard.
Maak een lijst van elke gegevenscategorie, inclusief logboeken, back-ups, misbruikmonitoring en ondersteuningsrecords.
Registreer de primaire, failover- en herstellocaties afzonderlijk.
Identificeer elke organisatie die toegang heeft tot klantgegevens of coderingssleutels.
Zet marketingverklaringen om in ondertekende, toetsbare contractverplichtingen.
Breng de technische grens in kaart en modelleer de supply chain
Teken een gegevensstroomdiagram vanuit de browser van de gebruiker of CMS naar het uiteindelijke antwoord. Markeer gateways, wachtrijen, objectarchieven, databases, modeleindpunten, inhoudfilters, observatietools en beheersystemen. Voor elk onderdeel: recordoperator, locatie, doel, bewaartermijn, versleutelingsmethode en of klantgegevens kunnen worden gebruikt om een gedeeld model te verbeteren.
Modelhosting kan meerdere lagen omvatten. De toepassing kan in Frankfurt worden uitgevoerd, terwijl de inferentie elders door een extern modeleindpunt wordt uitgevoerd. Een lokaal geïmplementeerd model kan nog steeds telemetrie naar de uitgever verzenden. Controleer het daadwerkelijke runtime-eindpunt, de uitgaande netwerkcontroles, het modeldownloadproces, licentiecontroles en elk extern beheerkanaal.
Vraag de provider om de grens aan te tonen met configuratie-exports, architectuurdiagrammen, subprocessorrecords en een live walkthrough van de beheerconsole. Bewijsmateriaal moet worden gedateerd en voorzien van versienummers. Controleer het opnieuw nadat materiaal is vrijgegeven, omdat een extra veiligheids-, analyse- of ondersteuningsservice het gegevenspad kan veranderen.
- 1
Traceer één representatief verzoek en één bestandsupload van begin tot eind.
- 2
Bevestig de bestemming van elke uitgaande verbinding vanuit de productieomgeving.
- 3
Vergelijk het architectuurbewijs met de gegevensverwerkingsovereenkomst en de lijst met subverwerkers.
- 4
Bewaar het goedgekeurde diagram en de bewijsset met de eigenaar en de beoordelingsdatum.
Evalueer controles, activiteiten en scheiding
Locatie alleen biedt geen veiligheid. Beoordeel de scheiding van tenants, identiteitsbeheer, geprivilegieerde toegang, sleuteleigendom, afhandeling van kwetsbaarheden, veilige implementatie, back-upherstel en incidentrespons. Voor gevoelig materiaal uit de publieke sector zijn op rollen gebaseerde toegang, sterke beheerdersauthenticatie, toegangsregistratie, regelmatige beoordeling van bevoegdheden en een noodtoegangsprocedure met goedkeuring met terugwerkende kracht vereist.
Geef aan of versleutelingssleutels door de provider worden beheerd, door de klant worden beheerd of aan één tenant zijn toegewezen. Vraag wie back-ups kan ontsleutelen en hoe sleutels worden gerouleerd, ingetrokken en hersteld. Als strikte scheiding vereist is, vraag dan om bewijs dat modelcaches, vectorarchieven, promptlogboeken en evaluatiegegevenssets niet door klanten kunnen worden opgevraagd.
Operationeel bewijs is belangrijker dan een controlelijst. Bekijk een recente hersteltest, een voorbeeld van een toegangsbeoordeling, de reikwijdte van de beveiligingstest, het volgen van herstelmaatregelen en het incidentcommunicatieproces. Certificeringen kunnen de beoordeling ondersteunen, maar mogen niet in de plaats komen van de controle of de gecertificeerde scope het exacte product en de hostingomgeving omvat die wordt aangeschaft.
Controleer productietoegang, noodtoegang en ondersteuningstoegang afzonderlijk.
Bevestig de versleuteling en belangrijke verantwoordelijkheden voor live gegevens en back-ups.
Beoordeel de onafhankelijke zekerheid en de precieze reikwijdte van elk rapport.
Vereist bewijs van herstel-, incident- en kwetsbaarheidsbeheeroefeningen.
Maak de beslissing controleerbaar
Gebruik een beslissingsrecord waarin de beoogde gegevens, de vereiste hostinggrens, het beoordeelde bewijsmateriaal, de onopgeloste risico's, de compenserende controles, de beslissingseigenaar en de vervaldatum worden vermeld. Classificeer elke claim als geverifieerd, contractueel vastgelegd, gepland of niet beschikbaar. Alleen geverifieerde en contractueel vastgelegde controles mogen het goedkeuringsbesluit ondersteunen.
Een communicatieteam kan bijvoorbeeld openbare websitetekst voor een gedeelde, in Duitsland gehoste dienst goedkeuren, maar dossiers en niet-gepubliceerde persoonlijke gegevens uitsluiten. Het beslissingsrapport moet die grens in operationele taal uitdrukken en vertalen naar productconfiguratie, gebruikersbegeleiding, monitoring en periodieke bemonstering van feitelijk gebruik.
Herbeoordeling moet worden geactiveerd door een nieuwe modelfamilie, hostingprovider, subprocessor, regio, telemetriefunctie of ondersteuningsregeling. Voeg de bewijsbeoordeling toe aan het leveranciersbeheer in plaats van het te behandelen als een eenmalige inkooptaak. Hierdoor blijft de hostingclaim accuraat na de eerste lancering.
- 1
Scoor verplichte locatie- en toegangsvereisten als geslaagd of mislukt.
- 2
Geef de beveiligingsvolwassenheid afzonderlijk een cijfer, zodat de locatie zwakke controles niet kan verbergen.
- 3
Keur een duidelijk afgebakend gebruiksscenario goed en codeer de grens in de configuratie.
- 4
Stel jaarlijkse en op veranderingen gebaseerde beoordelingen in met benoemde verantwoordelijke eigenaren.
Rollen, bewijs en goedkeuring
Beveiligings- en privacybeoordelingen moeten de productieconfiguratie beschrijven en niet een generieke provider. Leg de exacte service, regio, functievlaggen, optionele telemetrie, ondersteuningstoegang, subprocessors, versleutelingsgrenzen, bewaarinstellingen en klantverantwoordelijkheden vast. Beoordeel opnieuw na wijzigingen in de materiële architectuur, het contract, de leverancier of het doel en houd de beslissing gekoppeld aan het beoordeelde bewijsmateriaal.
Bediening en onderhoud
Het werk eindigt niet bij de publicatie. Koppel de taalversie of configuratie aan de bron, bewaak de kwaliteit en servicemaatregelen en definieer concrete beoordelingstriggers. Triggers zijn onder meer bronwijzigingen, juridische wijzigingen, nieuwe doelgroepbehoeften, terugkerende ondersteuningsvragen, technische wijzigingen en incidenten. Een benoemde eigenaar evalueert de trigger, opent indien nodig een nieuwe revisie en registreert de vernieuwde goedkeuring.
Controlelijst voor publicatie
Het volledige verwerkingstraject wordt gedocumenteerd.
De rollen voor de verwerkingsverantwoordelijke en de verwerker zijn overeengekomen.
Locaties en subverwerkers worden bewezen.
Opleiding en secundair gebruik komen expliciet aan bod.
Toegang, encryptie, logboekregistratie en incidentcontroles worden geverifieerd.
Het bewaren en verwijderen wordt per gegevenscategorie gedefinieerd.
Internationale overdrachten en waarborgen zijn gedocumenteerd.
Wijzigingen, audits, exit en eigendom van bewijsmateriaal worden toegewezen.