Compliance: was die Revisoren deiner Kunden über uns fragen

Wenn dein Kunde an Versicherungen, Banken, Spitäler oder Behörden verkauft, hört die Compliance-Prüfung nicht bei deiner Software auf. Sobald klar wird, dass die Engineers von VSHN das Produktionssystem erreichen können, weitet sich die Prüfung auf uns aus. Diese Seite beantwortet die Fragen, die dann kommen, damit du sie weiterleiten kannst, statt die Antworten selbst zu schreiben.

Was deine Kunden über die Personen fragen, die an die Produktion kommen

Die Fragen sind konkret und betreffen nicht deinen Code:

• Wer bei VSHN kann unser Produktionssystem erreichen, und unter welchen Kontrollen?
• Wie wird dieser Zugriff protokolliert, und können wir das Log sehen?
• Was trennt unsere Umgebung von der eines anderen Kunden?
• Welches Zugriffsmodell gilt?
• Was passiert mit dem Zugriff, wenn eine Person VSHN verlässt?

Das beantwortet VSHNs eigenes Zugriffsmodell und der ISAE-3402-Type-II-Bericht, nicht die Frage, wo die Daten liegen. Ein Kunde, der bei der Jurisdiktion zufrieden ist, hat diese fünf Fragen noch offen.

Offerte anfragen

Jede Kundenumgebung ist getrennt

VSHN betreibt deine Software für jeden deiner Kunden als dessen eigenes Deployment: eigene Umgebung, eigene Credentials, eigene Zugriffsrechte. Application Operations legt Kunden nicht wie eine Multi-Tenant-Plattform auf gemeinsamer Infrastruktur zusammen. Eine verletzte Zugriffsberechtigung bei einem Kunden hat deshalb keinen Weg zu einem anderen.

Das Zugriffsmodell

VSHNs administrativer Zugriff ist als unattended Access konzipiert, also ohne manuelle Zugriffswege, und das schliesst genau die Methoden aus, nach denen Revisoren am häufigsten fragen:

• Keine persönlichen VPN-Clients, Remote-Desktop-Jump-Hosts, Hardware-Token oder kundeneigenen Notebooks tragen dauerhaften Zugriff auf dein Produktionssystem.
• VSHN stellt die eigenen SSH- und VPN-Jump-Hosts selbst bereit, unter VSHNs Kontrolle, nicht unter der des Kunden.
• Jedes Mitarbeiter- und Service-Konto wird ausschliesslich über das VSHN Configuration Management verwaltet, sodass Zugriff aus einer deklarativen Quelle vergeben und entzogen wird, statt von Hand auf jedem System.
• Änderungen am laufenden System erfolgen nicht von Hand. Das Vier-Augen-Prinzip greift an der Quelle: eine Änderung läuft als Merge Request, den eine zweite Person freigibt, bevor sie die Produktion erreicht, nicht als Checkbox auf der Plattform selbst.

Verlässt eine Person VSHN, wird ihr Zugriff auf demselben Weg entzogen, auf dem er vergeben wurde: über das Configuration Management, nicht über eine Liste von Systemen, die jemand von Hand abarbeiten muss.

Was der ISAE-3402-Type-II-Bericht bereits belegt

Das meiste, wonach ein Revisor fragt, ist durch Nachweise gedeckt, die schon vorliegen, bevor jemand fragt. VSHN ist nach ISO 27001 zertifiziert und erstellt einen ISAE-3402-Type-II-Bericht: die Einschätzung einer unabhängigen Prüfstelle, ob VSHNs Kontrollen richtig konzipiert waren und über einen definierten Zeitraum tatsächlich so gelebt wurden. Type II ist hier der entscheidende Unterschied, denn er deckt einen Zeitraum echten Betriebs ab, nicht eine Momentaufnahme an einem einzelnen Tag. In der Praxis schliesst der Bericht den grössten Teil eines Due-Diligence-Fragebogens zu Zugriffskontrolle, Change Management und Logging ab, ohne dass jemand vor Ort prüfen muss.

Wo noch eine vertragliche Klausel nötig ist

Zwei Dinge regelt der ISAE-3402-Bericht und das Zugriffsmodell oben nicht von sich aus:

• Vertragliche Auditrechte für dich oder deinen Kunden, inklusive einer Prüfung vor Ort. Diese werden für das konkrete Engagement verhandelt und im Vertrag festgehalten. VSHN hat FINMA-beaufsichtigten Kunden bereits Auditrechte vor Ort eingeräumt.
• Eine kundenspezifische Vertraulichkeits- oder Haftungsklausel, die das Rechtsteam deines Kunden entwirft. Auch diese Klausel wird verhandelt, nicht im Voraus zugesagt, denn VSHN sagt dir nicht, dass eine Klausel passt, bevor VSHNs eigenes Rechtsteam den Wortlaut deines Kunden tatsächlich gelesen hat. Ein Anbieter, der das in der ersten E-Mail verspricht, sagt dir, was du hören willst, nicht was tatsächlich geprüft wurde.

Diese Seite nennt keinen Preis, und nichts darauf ersetzt, dass VSHNs Rechtsteam den tatsächlichen Vertragstext deines Kunden liest.

Buche einen Call, wenn du diese Antworten gegen den tatsächlichen Fragebogen deines Kunden prüfen willst.