ACSC - Cloud Computing Security for Cloud Service Providers (Cloudcomputingbeveiliging voor cloudserviceproviders) - herziene richtlijnen 2023
Disclaimer
De verstrekte richtlijnen zijn uitsluitend bedoeld om aan te geven hoe klanten van cloud in de openbare sector en in bedrijfsorganisaties die door het Australian Cyber Security Center (ACSC) worden beschouwd als een gereguleerde entiteit, deze richtlijnen uitsluitend beschouwen met betrekking tot Atlassian Cloud-producten en de geleverde services.
Dit rapport is uitsluitend bedoeld voor de informatie en begeleiding die Atlassian aan zijn klanten van cloud verstrekt over hoe we ons aanpassen aan de Cloud Computing Security for Service Providers (Cloudcomputingbeveiliging voor cloudserviceproviders). Daarnaast hebben we een speciale whitepaper over gedeelde verantwoordelijkheden waarin de verschillende verantwoordelijkheden worden besproken die aan zowel CSP als klanten worden geadviseerd. Het model voor gedeelde verantwoordelijkheid neemt voor klanten die Atlassian Cloud-producten gebruiken niet de verantwoordelijkheid en het risico weg, maar het helpt wel om systeemcomponenten en fysieke controle van faciliteiten eenvoudiger te beheren en te controleren. Ook verschuift het een deel van de kosten van beveiliging en naleving naar Atlassian en niet naar onze klanten.
Ga voor meer informatie over onze inzet om klantgegevens te beschermen naar onze pagina Beveiligingspraktijken.
Risico | Verwijzing | Risicobeperkingen | Atlassian-reactie |
|---|---|---|---|
| De meest effectieve risicobeperkende maatregelen die over het algemeen relevant zijn voor alle soorten Cloud-services | |||
| Overkoepelend verzuim om de vertrouwelijkheid, integriteit en beschikbaarheid van de gegevens van de tenant te behouden | Verwijzing 1 - Algemeen | Risicobeperkingen Beoordeel de cloudservice en de onderliggende infrastructuur (waarbij in deze publicatie expliciet aandacht wordt besteed aan de risicobeperkende maatregelen) aan de hand van het ISM [1] op het juiste classificatieniveau dat vereist is om de gegevens van de tenant te verwerken. | Atlassian-reactie Atlassian beschikt over robuuste mechanismen. Deze mechanismen zorgen ervoor dat de principes voor het framework van gegevensprivacy worden nageleefd, dat er beroep kan worden gedaan op personen die zijn getroffen doordat ze de principes niet hebben nageleefd en dat er gevolgen zijn wanneer de principes niet worden nageleefd. Deze naleving wordt gehandhaafd door middel van periodieke en incidentele zelfevaluaties. Verder worden er, indien nodig, ook sporadisch externe audits en nalevingsbeoordelingen uitgevoerd. We werken voornamelijk samen met TrustArc, een externe provider die eens per jaar verklaart of onze privacypraktijken in overeenstemming zijn met de principes van het framework voor gegevensprivacy. Ze staan achter onze zelfcertificering en bieden ook onafhankelijke diensten voor geschillenbemiddeling bij privacygerelateerde klachten van klanten. Verder volgen en monitoren we of Jira-tickets worden nageleefd. Deze kunnen worden gebruikt als audittrail samen met onze zelfevaluaties, externe audits/nalevingsbeoordelingen en mogelijke oplossingsplannen die we van tijd tot tijd hebben. We houden toezicht op de verwerking van gegevens en handhaven een programma voor gegevenslekken om incidenten/inbreuken op de privacy van gegevens op te sporen. |
|
| Verwijzing 2 - Algemeen | Risicobeperkingen Implementeer toezicht op beveiliging zodat het senior management de activiteiten op het gebied van beveiliging, zoals een robuust verandermanagement en het inzetten van technisch geschoold personeel voor bepaalde beveiligingsfuncties, kan sturen en coördineren. | Atlassian-reactie Bala Sathiamurthy is de CISO van Atlassian en werkt op ons kantoor in San Francisco. Ons beveiligingsteam bestaat uit meer dan 230 teamleden die zijn verdeeld over de teams Product Security, Security Intelligence, Security Architecture, Trust, Risk and Compliance and a development en het SRE-team. Deze teams zijn verdeeld over onze kantoren in Sydney, Amsterdam, Austin, Bengarulu, Mountain View, San Francisco en New York, maar er werken ook een aantal teamleden op afstand. |
|
| Verwijzing 3 - Algemeen | Risicobeperkingen Implementeer een plan voor incidentrespons op het gebied van cyberbeveiliging en test dit plan jaarlijks. Voor dit plan moet de tenant worden voorzien van contactgegevens voor noodgevallen, toegang tot het verkrijgen van forensisch bewijs dat normaal niet toegankelijk is voor de tenant en de melding van incidenten. | Atlassian-reactie We hebben een gedocumenteerd beleid en plan voor beveiligingsincidentrespons. De belangrijkste principes hiervan omvatten het volgende:
|
| De gegevens van de tenant zijn tijdens de doorvoer gecompromitteerd door kwaadwillende externen | Verwijzing 4 - Algemeen | Risicobeperkingen Ondersteun en gebruik de door ASD goedgekeurde cryptografische controles om gegevens te beschermen tijdens de doorvoer van de tenant naar de CSP, bijv. applicatielaag TLS of IPsec VPN met goedgekeurde algoritmen, de lengte van de code en codebeheer. | Atlassian-reactie Alle klantgegevens in Atlassian-cloudproducten en -services worden met behulp van Transport Layer Security (TLS) 1.2+ met Perfect Forward Secrecy (PFS) onderweg versleuteld bij openbare netwerken. Zo wordt ongeautoriseerde openbaarmaking of verandering voorkomen. Dankzij onze implementatie van TLS zijn sterke versleuteling en sleutellengtes verplicht, waar deze ondersteund worden door de browser. |
| Verwijzing 5 - Algemeen | Risicobeperkingen Gebruik de door ASD goedgekeurde cryptografische controles om gegevens te beschermen tijdens de doorvoer tussen de datacenters van de CSP via onveilige communicatiekanalen, zoals een openbare internetinfrastructuur. | Atlassian-reactie Atlassian hanteert een beleid voor versleuteling en cryptografie en implementatierichtlijnen. Dit beleid wordt jaarlijks herzien en bijgewerkt in overeenstemming met ons Policy Management Program (PMP). Voor meer informatie, bekijk: ons Atlassian Trust Management System (ATMS) | |
| Verwijzing 6 - Algemeen | Risicobeperkingen Wanneer gegevens worden overgedragen als onderdeel van het onboarden of het offboarden, is het belangrijk dat de door ASD goedgekeurde cryptografische controles worden ondersteund en gecontroleerd om gearchiveerde gegevens te beschermen tijdens de doorvoer van de tenant naar de CSP via de post/koerier. | Atlassian-reactie Alle klantgegevens in Atlassian-cloudproducten en -services worden met behulp van Transport Layer Security (TLS) 1.2+ met Perfect Forward Secrecy (PFS) onderweg versleuteld bij openbare netwerken. Zo wordt ongeautoriseerde openbaarmaking of verandering voorkomen. Dankzij onze implementatie van TLS zijn sterke versleuteling en sleutellengtes verplicht, waar deze ondersteund worden door de browser. | |
| De toegangsgegevens van het account van de tenant op de cloudservice zijn gecompromitteerd door kwaadwillende externen [2] [3] [4] [5] | Verwijzing 7 - Algemeen | Risicobeperkingen Zorg voor identiteits- en toegangsbeheer, bijvoorbeeld meervoudige verificatie en rollen met verschillende bevoegdheden. [6] Zo kan de tenant de cloudservice gebruiken en beheren met het bedieningspaneel van de website en de API van de CSP. | Atlassian-reactie Ja. Meervoudige verificatie is beschikbaar voor individuele accounts van Confluence en Jira. Voor meer informatie over hoe je meervoudige verificatie kunt inschakelen, bekijk: Tweestapsverificatie verplichten |
| Verwijzing 8 - Algemeen | Risicobeperkingen Wanneer de tenant de cloudservice gebruikt en beheert via het bedieningspaneel van de website en de API van de CSP, ondersteun en gebruik dan de door ASD goedgekeurde cryptografische controles om de toegangsgegevens en administratieve activiteiten te beschermen tijdens de doorvoer. | Atlassian-reactie Alle klantgegevens in Atlassian-cloudproducten en -services worden met behulp van Transport Layer Security (TLS) 1.2+ met Perfect Forward Secrecy (PFS) onderweg versleuteld bij openbare netwerken. Zo wordt ongeautoriseerde openbaarmaking of verandering voorkomen. Dankzij onze implementatie van TLS zijn sterke versleuteling en sleutellengtes verplicht, waar deze ondersteund worden door de browser. | |
| Verwijzing 9 - Algemeen | Risicobeperkingen Maak het mogelijk voor de tenant om gedetailleerde tijdgesynchroniseerde logs te downloaden en realtime meldingen te ontvangen die worden gegenereerd voor het account dat de tenant gebuikt voor toegang tot en het beheren van de cloudservice. | Atlassian-reactie Sleutelsysteemlogs worden vanaf elk systeem doorgestuurd naar een gecentraliseerd logplatform, waar logs alleen gelezen kunnen worden. Het Beveiligingsteam van Atlassian maakt waarschuwingen aan op ons platform voor beveiligingsanalyses (Splunk) en controleert op tekenen van schade. Onze SRE-teams gebruiken het platform om te controleren op problemen met beschikbaarheid of prestaties. Logs worden 30 dagen bewaard in de hot back-up en 365 dagen in de cold back-up. | |
| De gegevens van de tenant zijn gecompromitteerd door kwaadwillende CSP-medewerkers of kwaadwillende externen | Verwijzing 10 - Algemeen | Risicobeperkingen Maak het mogelijk voor de tenant om gedetailleerde tijdgesynchroniseerde logs te downloaden en realtime meldingen te ontvangen die worden gegenereerd door de cloudservice en door de tenant worden gebruikt, bijv. logs van het besturingssysteem, de webserver en de applicatie. | Atlassian-reactie We gebruiken Casper (https://www.jamf.com) en OSQuery (https://osquery.io/) om te beheren wat er wordt gelogd en hoe lang de logs worden bewaard. Logs worden opgeslagen in een logisch gescheiden systeem en schrijftoegang tot de logs is beperkt tot leden van het beveiligingsteam. Waarschuwingen worden naar het beveiligingsteam of de servicedesk gestuurd wanneer er bepaalde acties of gebeurtenissen in de logs worden geïdentificeerd. Onze centrale logservice (Splunk) is geïntegreerd met onze infrastructuur voor beveiligingsanalyses voor geautomatiseerde analyses en er worden waarschuwingen aangemaakt om mogelijke problemen te identificeren.Onze interne en externe kwetsbaarheidsscanners waarschuwen onder meer voor onverwachte open poorten of andere wijzigingen in de configuratie (bijvoorbeeld TLS-profielen van luisterservers). Waarschuwingen worden naar het beveiligingsteam of de servicedesk gestuurd wanneer er bepaalde acties of gebeurtenissen in de logs worden geïdentificeerd. |
| Verwijzing 11 - Algemeen | Risicobeperkingen Maak bekend in welke landen en rechtsgebieden gegevens van tenants worden opgeslagen, geback-upt en verwerkt en toegankelijk zijn voor CSP-medewerkers voor probleemoplossing, beheer op afstand en klantenondersteuning. | Atlassian-reactie Atlassian gebruikt Amazon Web Services (AWS) in de regio's VS-Oost, VS-West, Ierland, Frankfurt, Singapore en Sydney (Confluence en Jira). Voor meer informatie, bekijk: Infrastructuur cloudhosting | |
| Verwijzing 12 - Algemeen | Risicobeperkingen Voer antecedentenonderzoeken uit naar CSP-medewerkers voor wat betreft hun niveau van toegang tot systemen en gegevens. Handhaaf veiligheidsmachtigingen voor personeel met toegang tot zeer gevoelige gegevens [7]. | Atlassian-reactie Ja. Wereldwijd worden nieuwe Atlassians verplicht om een antecedentenonderzoek te ondergaan. Bij nieuwe werknemers als gevolg van een acquisitie wordt na de acquisitiedatum een antecedentenonderzoek uitgevoerd. Bij alle nieuwe werknemers en onafhankelijke contractanten wordt een strafrechtelijke controle uitgevoerd. Er worden ook opleidingsverificatie, tewerkstellingsverificatie of kredietcontroles toegevoegd als de functie of het niveau van de functie dat vereist. We voeren volledige antecedentenonderzoeken uit voor leidinggevende en boekhoudkundige functies. | |
| Verwijzing 13 - Algemeen | Risicobeperkingen Gebruik fysiek beveiligde datacenters en kantoren waar de gegevens van tenants worden opgeslagen of waar ze toegang hebben tot gegevens van huurders [8]. Verifieer en registreer de identiteit van alle medewerkers en bezoekers. Begeleid bezoekers om te voorkomen dat ze zonder toestemming toegang krijgen tot gegevens. | Atlassian-reactie Onze Atlassian-kantoren laten zich leiden door ons interne beleid inzake fysieke beveiliging en omgevingsbeveiliging, waaronder het monitoren van fysieke in- en uitgangen. De datacenters van onze partners beschikken over meerdere conformiteitscertificaten. Deze certificeringen hebben betrekking op fysieke beveiliging, systeembeschikbaarheid, netwerk- en IP-backbone-toegang, klantprovisioning en probleembeheer. Toegang tot de Data Centers wordt beperkt tot bevoegd personeel en gecontroleerd met biometrische identiteitscontroles. Fysieke beveiligingsmaatregelen omvatten: on-premise-bewakers, videobewaking met gesloten circuit, toegangssluizen en aanvullende beveiligingsmaatregelen tegen inbraak. AWS beschikt over meerdere certificeringen voor de bescherming van hun datacenters. Informatie over de fysieke bescherming van AWS is te vinden op: http://aws.amazon.com/compliance/ | |
| Verwijzing 14 - Algemeen | Risicobeperkingen Beperk de bevoorrechte toegang van CSP-medewerkers tot systemen en gegevens op basis van hun taken [9]. Elke drie maanden is een nieuwe goedkeuring vereist voor CSP-medewerkers die bevoorrechte toegang nodig hebben. Trek de toegang in na de beëindiging van het dienstverband van CSP-medewerkers. | Atlassian-reactie Atlassian handhaaft beperkingen voor het personeel dat deze toegang nodig heeft voor hun functie en verantwoordelijkheden. Alle niveau 1-systemen worden beheerd via de centrale enkelvoudige aanmelding (SSO) en mapoplossing van Atlassian. Gebruikers krijgen de juiste toegangsrechten op basis van deze profielen, aangestuurd via de workflow van ons HR-beheersysteem. Atlassian maakt gebruik van MFA voor toegang tot alle niveau 1-systemen. We hebben tweefactorauthenticatie mogelijk gemaakt voor de hypervisorbeheerconsole en de AWS-API, en we geven een dagelijks auditrapport uit over alle toegang tot de hypervisorbeheerfuncties. De toegangslijsten voor de hypervisorbeheerconsole en de AWS-API worden elk kwartaal herzien. We zorgen ook voor een synchronisatie van elke 8 uur tussen ons HR-systeem en ons identiteitsarchief. | |
| Verwijzing 15 - Algemeen | Risicobeperkingen Analyseer logs van de acties van CSP-medewerkers direct. Deze logs worden gelogd op een beveiligde en geïsoleerde logserver. Implementeer een scheiding van taken door loganalyses te eisen van CSP-medewerkers die geen andere bevoegdheden of functies hebben. | Atlassian-reactie Voor de kernproducten van Atlassian zijn er controles op het gebied van functiescheiding, waaronder, maar niet beperkt tot:
| |
| Verwijzing 16 - Algemeen | Risicobeperkingen Om te beoordelen of het beveiligingsrisicoprofiel van de CSP toeneemt, raden we je aan om een due diligence-onderzoek uit te voeren naar leveranciers voordat je software, hardware of services aanschaft. | Atlassian-reactie Nieuwe leveranciers bij Atlassian moeten in onze contracten instemmen met ons addendum en beleid voor privacy en veiligheid. De juridische en inkoopafdelingen van Atlassian beoordelen contracten, SLA's en het interne beleid van leveranciers om te bepalen of de leverancier voldoet aan de vereisten voor beveiliging, beschikbaarheid en vertrouwelijkheid. Atlassian onderhoudt deze openbare pagina: Lijst van gegevenssubverwerkers | |
| Verwijzing 17 - Algemeen | Risicobeperkingen Gebruik de door ASD goedgekeurde cryptografische controles om zeer gevoelige gearchiveerde gegevens te beschermen. Schoon de opslagmedia op voorafgaand aan de reparatie, de verwijdering en het offboarden van een tenant die een geheimhoudingsverklaring heeft voor gegevens in resterende back-ups. | Atlassian-reactie Workplace Technology zorgt voor dit proces. Apparatuur wordt op de juiste manier ontsmet en gedemagnetiseerd. Atlassian beheert geen fysieke media die hun cloudproducten en -services ondersteunen. | |
| De gegevens van de tenant zijn gecompromitteerd door een andere kwaadwillende of gecompromitteerde tenant [10] [11] [12] [13] [14] [15] [16] [17] [18] | Verwijzing 18 - Algemeen | Risicobeperkingen Implementeer mechanismen voor meerdere tenants om te voorkomen dat andere tenants toegang hebben tot de gegevens van de tenant. Isoleer netwerkverkeer, opslag, geheugen en computerverwerking. Schoon de opslagmedia op voordat ze opnieuw worden gebruikt. | Atlassian-reactie Atlassian is een SaaS-applicatie voor meerdere tenants. Het hebben van meerdere tenants is een belangrijk kenmerk van Atlassian Cloud waardoor meerdere klanten één installatie van de Jira- of Confluence-applicatielaag kunnen delen, terwijl de applicatiegegevens van elke tenant van de klant worden geïsoleerd. Atlassian Cloud doet dit via de Tenant Context Service (TCS). Elke gebruikers-ID is gekoppeld aan precies één tenant, die vervolgens wordt gebruikt voor toegang tot de Atlassian Cloud-applicaties. Voor meer informatie, bekijk: Beveiligingsmethoden |
| De gegevens van de tenant zijn niet beschikbaar vanwege corruptie, verwijdering [19] of de beëindiging van het account/de service door de CSP | Verwijzing 19 - Algemeen | Risicobeperkingen Stel de tenant in staat om actuele back-ups uit te voeren in een formaat dat CSP-lock-in voorkomt. Als een account of cloudservice wordt beëindigd, moet je de tenant onmiddellijk op de hoogte brengen en deze persoon minstens een maand de tijd geven om diens gegevens te downloaden. | Atlassian-reactie Atlassian hanteert een standaard voor gegevensbehoud en -vernietiging, die aangeeft hoe lang we verschillende soorten gegevens moeten bewaren. Gegevens worden geclassificeerd in overeenstemming met ons Atlassian-beleid inzake gegevensbeveiliging en levenscyclus van informatie, en op basis daarvan worden controles geïmplementeerd. Voor klantgegevens: na beëindiging van een Atlassian-contract worden de gegevens van een klantenteam verwijderd uit de live productiedatabase en worden alle bestandsbijlagen die rechtstreeks naar Atlassian zijn geüpload binnen 14 dagen verwijderd. De gegevens van het team blijven in versleutelde back-ups staan totdat de bewaartermijn van 60 dagen voor back-ups vervalt. Daarna worden de gegevens vernietigd in overeenstemming met ons Atlassian-beleid voor gegevensbehoud. In het geval dat een databaseherstel nodig is binnen 60 dagen na het verwijderen van de gevraagde gegevens, verwijdert het operationele team opnieuw de gegevens zo snel als redelijkerwijs mogelijk nadat het live productiesysteem volledig is hersteld. Raadpleeg voor meer informatie: opslag bijhouden en gegevens verplaatsen tussen producten |
| Gegevens van de tenant zijn niet beschikbaar of zijn gecompromitteerd als gevolg van een faillissement van de CSP of andere juridische stappen | Verwijzing 20 - Algemeen | Risicobeperkingen Garandeer contractueel dat de tenant het wettelijke eigendom van diens gegevens behoudt. | Atlassian-reactie Klanten van Atlassian blijven verantwoordelijk om ervoor te zorgen dat hun gebruik van onze service in overeenstemming is met de toepasselijke wet- en regelgeving. Meer informatie over onze specifieke juridische overeenkomsten en beleidsregels is beschikbaar op onze pagina met juridische bronnen: https://www.atlassian.com/legal |
| Cloudservice is niet beschikbaar vanwege de gebrekkige netwerkverbinding van de CSP | Verwijzing 21 - Algemeen | Risicobeperkingen Ondersteun voldoende hoge bandbreedte, lage latentie en betrouwbare netwerkconnectiviteit tussen de tenant en de cloudservice om te voldoen aan het geclaimde beschikbaarheidsniveau zoals vereist door de tenant. | Atlassian-reactie We controleren alle Cloud-installaties op prestaties en beschikbaarheid, maar we bieden momenteel geen formele SLA voor de beschikbaarheid van applicaties. Ons supportteam biedt een SLA voor de eerste reactietijd, en hoewel we geen officiële SLA voor het oplossen hebben, is ons interne doel om alle toegewezen gevallen binnen 48 uur op te lossen. Atlassian toont hier de statistieken over de status van ons laatste Cloud-systeem: https://status.atlassian.com |
| Cloudservice is niet beschikbaar vanwege een CSP-fout, geplande uitval, defecte hardware of een natuurramp | Verwijzing 22 - Algemeen | Risicobeperkingen Architect om te voldoen aan het geclaimde beschikbaarheidsniveau zoals vereist door de tenant, bijv. minimale enkelvoudige foutpunten, clustering en load-balancing, gegevensreplicatie, geautomatiseerde failover en realtime beschikbaarheidsmonitoring. | Atlassian-reactie Voor onze Atlassian Cloud-services worden plannen voor Bedrijfscontinuïteit en Disaster Recovery minstens elk kwartaal getest. De beschikbaarheid in meerdere regio's wordt in realtime gemonitord. Elke week worden er geautomatiseerde regio-failover-tests uitgevoerd in een preproductieomgeving. Tijdens de productie worden dagelijks geautomatiseerde tests voor het herstellen van configuratiegegevens uitgevoerd. |
| Verwijzing 23 - Algemeen | Risicobeperkingen Ontwikkel en test jaarlijks een Disaster Recovery- en Bedrijfscontinuïteitsplan om te voldoen aan het geclaimde beschikbaarheidsniveau zoals vereist door de tenant, bijv. uitgevaardigd voor incidenten die leiden tot blijvend verlies van CSP-personeel of -infrastructuur. | Atlassian-reactie Er is een beleid en een plan voor Bedrijfscontinuïteit en Disaster Recovery van kracht; deze worden jaarlijks herzien door de stuurgroep voor Bedrijfscontinuïteit/Disaster recovery. Eigenaren van bedrijfskritieke systemen en processen en service-eigenaren moeten zorgen voor goede Bedrijfscontinuïteit en/of Disaster Recovery (BCDR) in overeenstemming met de tolerantie voor verstoring in geval van een ramp. BCDR-plannen worden elk kwartaal getest en alle geïdentificeerde issues worden opgelost. Zie Beveiligingspraktijken en De aanpak van Atlassian voor veerkracht voor meer informatie. | |
| Cloudservice is niet beschikbaar vanwege een echte piek in de vraag of vanwege de denial-of-service (DoS) van de bandbreedte/CPU | Verwijzing 24 - Algemeen | Risicobeperkingen Implementeer maatregelen voor beperking van denial-of-service om te voldoen aan het geclaimde beschikbaarheidsniveau, zoals vereist door de tenant, bijv. redundante externe en interne netwerkconnectiviteit met hoge bandbreedte met verkeersbeperking en filtering. | Atlassian-reactie Atlassian Security Engineering maakt gebruik van IPS-technologieën die in onze kantooromgevingen worden geïmplementeerd. De bescherming tegen netwerkbedreigingen wordt uitgevoerd door AWS, waaronder DDoS-bescherming en enkele firewallfuncties voor webtoepassingen. |
| Verwijzing 25 - Algemeen | Risicobeperkingen Zorg voor infrastructuurcapaciteit en responsieve geautomatiseerde schaalbaarheid om te voldoen aan het geclaimde beschikbaarheidsniveau, zoals vereist door de tenant. | Atlassian-reactie Atlassian plant zijn capaciteit 6-12 maanden van tevoren en strategische planning op hoog niveau duurt 36 maanden. | |
| Financiële gevolgen van een echte piek in de vraag of een denial-of-service (DoS) van de bandbreedte/CPU | Verwijzing 26 - Algemeen | Risicobeperkingen Stel de tenant in staat om de kosten van een echte piek in de vraag of een denial-of-service te beheersen door middel van contractuele uitgavenlimieten, realtime waarschuwingen en configureerbare maximumlimieten voor het gebruik van de infrastructuurcapaciteit van de CSP. | Atlassian-reactie Voor ons SaaS-aanbod factureren we klanten niet op basis van gebruik. We delen momenteel geen capaciteits- of gebruikersrapporten met tenants. |
| De infrastructuur van de CSP is aangetast door kwaadwillende tenant of kwaadwillende externe partij | Verwijzing 27 - Algemeen | Risicobeperkingen Gebruik door het bedrijf goedgekeurde en beveiligde computers, jump-servers, speciale accounts, sterke wachtwoordzinnen en meervoudige authenticatie om klantenondersteuning te bieden en cloudservices en -infrastructuur te beheren. | Atlassian-reactie Werknemers zijn verplicht om 2FA af te dwingen, indien beschikbaar, en een wachtwoordbeheerder te gebruiken met willekeurige, veilige wachtwoorden. Geautoriseerde werknemers hebben toegang tot de productieomgeving door zich te authenticeren bij de VPN met behulp van unieke sterke wachtwoorden en op TOTP gebaseerde 2FA. Zij hebben dan alleen toegang via ssh-terminalverbindingen met behulp van persoonlijke RSA-certificaten die met een wachtwoord zijn beveiligd. SSO, SSH 2FA VPN zijn allemaal vereist. |
| Verwijzing 28 - Algemeen | Risicobeperkingen Gebruik door ASD goedgekeurde cryptografische controles om toegangsgegevens en administratieve activiteiten onderweg te beschermen via onveilige communicatiekanalen tussen het datacenter van de CSP en het personeel van de CSP-beheerder/klantenondersteuning. | Atlassian-reactie Alle klantgegevens in Atlassian-cloudproducten en -services worden met behulp van Transport Layer Security (TLS) 1.2+ met Perfect Forward Secrecy (PFS) onderweg versleuteld bij openbare netwerken. Zo wordt ongeautoriseerde openbaarmaking of verandering voorkomen. Dankzij onze implementatie van TLS zijn sterke versleuteling en sleutellengtes verplicht, waar deze ondersteund worden door de browser. | |
| Verwijzing 29 - Algemeen | Risicobeperkingen Implementeer netwerksegmentatie en -segregatie [20] tussen het internet, de CSP-infrastructuur die door tenants wordt gebruikt, het netwerk dat de CSP gebruikt voor het beheer van cloudservives en -infrastructuur, en het bedrijfs-LAN van de CSP. | Atlassian-reactie Klantgegevens mogen nooit worden gereproduceerd buiten de productieomgeving, die wordt opgeslagen op de beveiligde servers van AWS. Er gelden strikte firewallregels, waardoor de toegang tot de productieomgeving tot ons VPN-netwerk en geautoriseerde systemen wordt beperkt. VPN vereist meervoudige verificatie. Voor de kernproducten van Atlassian zijn er controles op het gebied van functiescheiding, waaronder, maar niet beperkt tot:
| |
| Verwijzing 30 - Algemeen | Risicobeperkingen Gebruik veilige programmeermethoden voor software die is ontwikkeld door de CSP [21] [22] [23]. | Atlassian-reactie Atlassian hanteert veilige ontwikkelingsmethoden in alle fasen van de ontwikkelingscyclus. Zie: Beveiliging tijdens softwareontwikkeling bij Atlassian voor meer informatie. | |
| Verwijzing 31 - Algemeen | Risicobeperkingen Voer veilige configuratie, doorlopend kwetsbaarheidsbeheer, snelle patching, jaarlijkse externe beveiligingsbeoordelingen en penetratietests uit van cloudservices en onderliggende infrastructuur. | Atlassian-reactie We schakelen externe adviesbureaus in om jaarlijkse penetratietests uit te voeren op extern gerichte applicaties. We vullen deze tests ook aan met kleinere, doorlopende beveiligingstests, uitgevoerd door ons interne beveiligingstestteam. De beoordelingsbrieven voor deze penetratietests zijn hier te vinden, samen met meer informatie over ons testproces: Hoe wij externe beveiligingstests aanpakken | |
| Verwijzing 32 - Algemeen | Risicobeperkingen Train al het CSP-personeel, met name beheerders, bij aanvang van hun dienstverband en jaarlijks om de gegevens van tenants te beschermen, de beschikbaarheid van cloudservices te handhaven en proactief beveiligingsincidenten te identificeren, bijv. via een snelle loganalyse. | Atlassian-reactie Atlassian biedt informatiebeveiligingstrainingen als onderdeel van een onboardingtraining ('Rocketfuel') voor nieuwe medewerkers en doorlopend voor al het personeel. Kandidaten en contractanten moeten een vertrouwelijkheidsovereenkomst ondertekenen voordat ze bij het bedrijf kunnen beginnen. In het geval van een technologische verandering of een andere grote verschuiving, worden cursussen beschikbaar gesteld en aangekondigd aan bestaande werknemers via ons intranet. | |
| Meest effectieve risicobeperkende maatregelen, met name relevant voor IaaS | |||
| De virtuele machine (VM) van de tenant is gehackt door een kwaadwillende externe partij [24] | Verwijzing 1 - IaaS | Risicobeperkingen Zorg voor netwerktoegangscontroles waarmee de tenant netwerksegmentatie en -segregatie kan implementeren [25], waaronder een netwerkfiltermogelijkheid om extern beheer van diens VM's niet toe te staan, behalve vanaf het eigen IP-adres. | Atlassian-reactie Dit is niet van toepassing. Atlassian is een SaaS-provider. |
| Verwijzing 2 - IaaS | Risicobeperkingen Voorzie de tenant van veilig geconfigureerde en gepatchte VM-sjabloonafbeeldingen. Vermijd het toekennen van een zwak administratief wachtwoord aan nieuw geregistreerde VM's. | Atlassian-reactie Dit is niet van toepassing. Atlassian is een SaaS-provider. | |
| Meest effectieve risicobeperkende maatregelen, met name relevant voor PaaS | |||
| De gegevens van de tenant zijn gecompromitteerd door kwaadwillende externe partij | Verwijzing 1 - PaaS | Risicobeperkingen Versterk en configureer de software voor het besturingssysteem, de webserver en het platform op een veilige manier. Beperk de inkomende en uitgaande netwerkconnectiviteit tot alleen de vereiste poorten/protocollen. Voer onmiddellijk patching en logboekanalyses uit. | Atlassian-reactie Dit is niet van toepassing. Atlassian is een SaaS-provider. |
| Meest effectieve risicobeperkende maatregelen, met name relevant voor SaaS | |||
| De gegevens van de tenant zijn gecompromitteerd door kwaadwillende externe partij | Verwijzing 1 - SaaS | Risicobeperkingen Implementeer specifieke besturingselementen voor de cloudservice, bijvoorbeeld voor e-mails die als een service worden geleverd, en bied functies zoals het filteren van inhoud met geautomatiseerde dynamische analyse van e-mails en e-mailbijlagen. | Atlassian-reactie Dit is inbegrepen in onze producten. Atlassian maakt gebruik van Proofpoint (https://www.proofpoint.com/au/products/email-protection) om bijlagen te scannen en URL's te herschrijven om pogingen tot phishing tegen te gaan. Atlassian maakt ook gebruik van ingebouwde e-mailbeveiliging in Google G-Suite (diensten voor cloudbeveiliging en gegevensbescherming) |
| Verwijzing 2 - SaaS | Risicobeperkingen Implementeer algemene controles [26], bijv. beperkte inkomende en uitgaande netwerkconnectiviteit enkel voor de vereiste poorten/protocollen, antivirussoftware die dagelijks wordt bijgewerkt, systemen voor inbraakpreventie en onmiddelijke logboekanalyse. | Atlassian-reactie Niet van toepassing. Bij Atlassian hebben we geen antimalware op de productieservers, omdat deze enkel kunnen worden overschreven door onze CI/CD-pipeline. De applicatieservices van Atlassian die Jira Cloud of Confluence Cloud hosten, hosten enkel de applicatiecode en niets anders. De servers van Jira en Confluence Cloud kunnen enkel worden overschreven door de implementatie-pipeline of de CI/CD-pipeline van Atlassian. | |