Wo werden Logs und Kundendaten beim SOC-Service gespeichert – muss ich das wegen KVKK hinterfragen?

Lasst ein Log-Scrubbing durchführen, bevor die Daten euer Netzwerk verlassen. Ein Agent oder Collector auf eurem eigenen Server sollte E-Mails und Identifikationsdaten im Log per SHA-256 hashen oder aussternen. Nach draußen geht dann nur bereinigte Sicherheitstelemetrie, und schon ist das Risiko von Datenlecks vom Tisch.

Gemäß Artikel 9 KVKK ist die Übermittlung personenbezogener Daten ins Ausland an strenge Voraussetzungen geknüpft. Solange mit dem Dienstleister keine Standardverträge aufgesetzt und der Behörde angezeigt wurden, zieht die Speicherung der Daten auf Servern im Ausland für Ihr Unternehmen als Verantwortlichen unweigerlich Verwaltungsgelder nach sich.

Schreibt direkt folgenden Satz ins Lastenheft: 'Sämtliche Logdaten und Analyseergebnisse werden in Rechenzentren innerhalb der Grenzen der Republik Türkei gespeichert.' Dienstleister, die das nicht zusichern können direkt aussortieren sonst habt ihr später nur Ärger.

Vor genau demselben Dilemma standen wir auch. Der Anbieter wollte für das lokale Hosting in der Türkei jährlich 120.000 TL mehr haben. Wir haben das mit unserer Rechtsabteilung durchgerechnet: Im Vergleich zu den möglichen Strafen und dem Reputationsverlust bei einer Datenpanne war dieser Aufpreis lächerlich gering. Wir haben uns für den lokalen Standort entschieden.

Sammelt der Anbieter nur SIEM-Logs oder schneidet er auch den gesamten Paketverkehr (PCAP) im Netzwerk mit? Wenn die eine Paketanalyse machen, sehen die im HTTP-Traffic bis auf Kreditkartendaten sämtliche Formulardaten im Klartext. Habt ihr daran gedacht?

Manche behaupten, ihr Rechenzentrum sei in der Türkei, hosten aber nur die Datenbank hier und jagen die Analysen durch KI-Engines im Ausland. Wenn ihr nicht explizit 'sämtliche Systeme inklusive Datenverarbeitungs- und Analyse-Engines' festschreiben lasst, finden die immer ein Hintertürchen.

bei unserer alten firma gabs n system das logs in die usa geschickt hat bei der prüfung hat der prüfer in ner url in den logfiles ne kunden-tc-nummer gefunden wir haben blut geschwitzt bis die stellungnahme durch war lasst das auf jeden fall maskieren.

Edit: Ich habe ein paar Tippfehler korrigiert.

Unterm Strich gibt es zwei Wege: Entweder ihr verhindert durch striktes Maskieren auf dem Collector, dass personenbezogene Daten nach außen dringen, oder ihr entscheidet euch für ein SOC-Modell mit lokalem Hosting, bei dem die komplette Infrastruktur in der Türkei bleibt.

ich bin in derselben Situation, deshalb frage ich. ein automatisierter Scan-Report ist kein Penetrationstest.

wenn ihr das Ergebnis hier posett hilft es auch anderen.

Gespeichert.

nach diesem Erlebnis hat sich meine Sichtweise geändert. ehrlich gesagt lösungen die im kleinen Maßstab funktionieren brechen bei Wachstum zusammen das habe ich spät gelernt.

änderungen an Zahlunggsdaten werden niemals über den Kanal bestätigt, über den sie eingehen. wenn ihr das Ergebnis hier postet hilft es auch anderen.

Dieses Thema ist archiviert. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Der billige Weg stellt sich oft im Nachhinein als teuer heraus. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

richtig.

ich bin ein kleines Unternehmen ich erzähle es aus meiner Sicht. naja fehler auf der soc wo werden daten gespeichert-Seite sind meist rückgängig zu machen aber teuer.

Das wusste ich nicht.

notiert danke.

Im Großen und Ganzen richtig, aber ein Punkt fehlt. Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.

Aus Erfahrung weiß ich das.