AMCS Cloud-sikkerhed

Denne artikel er designet til at give et overblik over den cloud-sikkerhed, der anvendes af AMCS. Det dækker to områder, nemlig applikationssikkerhedsfunktionerne og de operationelle sikkerhedssystemer , der bruges i organisationen, til at understøtte produktudvikling og styring.

1. Applikationssikkerhedsfunktioner

AMCS cloud-sikkerhed leveres ved hjælp af branchens bedste praksis og teknologier.  Vi anvender også flere operationelle systemer og kontroller for at sikre, at vi løbende overvåger for nye trusler eller angreb, samtidig med at dine data holdes sikre og sikre.

1.1 Kryptering af data under transit

Overførsel af alle data til vores cloud-miljø er tvunget til at blive krypteret med industristandardprotokoller og krypteringssuiter.  Det drejer sig bl.a. om:

• Brugerlegitimationsoplysninger
• Operationelle og finansielle data
• Personligt identificerbare oplysninger (PII)

Tredjepartssystemer, der forsøger at sende data til vores API'er uden disse krypteringsniveauer, afvises.

Vi håndhæver et minimum af TLS 1.2 for at sikre, at alle data, vi accepterer, er krypterede, godkendte og ikke er blevet manipuleret under transit mellem applikationer.

1.2 Kryptering af inaktive data

Når dine data er accepteret i vores cloud-miljø, gemmes de i sikre lagringstjenester.  Disse tjenester kan variere afhængigt af typen og applikationen relateret til dataene.  De tre hovedtyper er database, fillagring og BLOB-lagring.

Alle tre af disse tjenester er konfigureret til at kryptere dine data i hvile, hvilket betyder, at hvis en angriber får adgang til den fysiske disk eller enhed, krypteres dataene.

1.3 Brugergodkendelse, autorisation og revision

Alle brugeroplysninger overføres og gemmes sikkert.  Adgangskoder gemmes ved hjælp af en envejs hashing-algoritme.

Systemet giver dine brugeradministratorer funktionalitet til at administrere adgangsniveauerne efter grupper og adgangsrettigheder.

Al brugeraktivitet overvåges, så du har fuld sporbarhed for aktivitet på dit system.

1.4 Single Sign On (SSO) og Multi Factor Authentication (MFA)

Hvor det er muligt, giver AMCS fuld integration med din identitetsudbyder for at implementere en enkelt login-oplevelse for dine brugere.  Disse implementeringer understøtter alle MFA-kontrolelementer, du har konfigureret ved hjælp af følgende identifikationsudbydere:

• Okta
• Azure AD
• Google

1.5 DDoS-beskyttelse

Alle netværksslutpunkter er beskyttet mod almindelige netværksangreb, herunder distribuerede denial of service-angreb.  En afbødning indføres automatisk, når et angreb finder sted, og derved sikres, at tjenesten er tilgængelig for de gyldige brugere.

2. Operationelle sikkerhedssystemer

2.1 Politik for sikkerhedskopiering og opbevaring af databaser

AMCS har en politik for sikkerhedskopiering og opbevaring af data, der implementeres som standard for alle forekomster af AMCS-platformen. Denne politik omfatter regelmæssig punkt-i-tid backup af produktionsdatabaser hvert 5. minut kontinuerligt. Disse snapshots gemmes offsite på et andet geografisk sted med henblik på katastrofegendannelse, men inden for den samme geopolitiske grænse for at overholde kravene til datasuverænitet.  Snapshots gemmes i 35 dage og kan bruges til at gendanne systemet til et tidspunkt med et sekunds nøjagtighed. Ud over dette er langsigtet backup og opbevaring placeret som standard. Der tages månedlige sikkerhedskopier, der opbevares i 12 måneder, og årlige sikkerhedskopier bevares i 10 år.

2.2 Løbende overvågning og alarmering

Alle produktionssystemer er integreret i vores globale 24/7 overvågningssystem.  Dette sikrer, at alle applikationer og deres kritiske afhængigheder er tilgængelige.  I tilfælde af et udfald udløses en advarsel, der starter supportprocessen.

2.3 Varslingssystem til registrering af trusler og indtrængen

Sikkerhedssystemet tilpasser sig brugernes sædvanlige adfærd og eventuelle eksterne systemer, der interagerer direkte med miljøet.  Når der opstår aktivitet, der ikke passer til det sædvanlige mønster, markeres den korrekt.  For eksempel, hvis en offentlig API, der normalt betjener trafik fra en europæisk region, pludselig bliver kaldt fra Nordamerika, markeres denne anomali til AMCS Cyber Security Team.

2.4 Vurdering af sårbarhed

Sårbarhedsvurderingsagenter bruges til løbende at scanne alle servere og slutpunkter for de nyeste kendte sårbarheder, og disse rapporteres centralt tilbage til AMCS Cyber Security-teamet.  Sårbarhederne scores ved hjælp af CVSS og handles i henhold til SLA (se bilag A).

2.5 Dynamisk applikationsscanning

Vi tester løbende vores nyeste softwareudgivelse for alle kendte OWASP-sårbarheder.  Disse scanninger gennemgår automatisk et implementeret produktionslignende miljø og tester slutpunkter for eventuelle svagheder eller fejlkonfigurationer.  Sårbarhederne scores ved hjælp af CVSS og handles i henhold til SLA (se bilag A). 

2.6 Uafhængig tredjeparts sikkerhedstest

AMCS Cloud er underlagt en regelmæssig sikkerhedstest udført af en uafhængig CREST-certificeret udbyder.  Resultaterne af testene gennemgås af AMCS Cyber Security-teamet og handles i henhold til SLA (se bilag A).

2.7 Beskyttelse af slutpunkter

Alle slutpunkter er beskyttet ved hjælp af klassens bedste sikkerhedssoftware til at give beskyttelse i realtid mod malware, spyware og anden ondsindet software.

2.8 Styring af opdateringer

OS-opdateringer og programrettelser udrulles automatisk på tværs af alle servere, og dette sker på en månedlig tidsplan.  Væsentlige sårbarheder såsom zero-day-angreb håndteres fra sag til sag.

3. Tillæg

3.1 Appendiks A – SLA om CVSS-klassificering