Zum Hauptinhalt springen
Virtik

Unterzeichner des CISA Secure by Design Pledge

Secure by Design bei Virtik

Virtik USA, Inc. ist offizieller Unterzeichner des Secure by Design Pledge der U.S. Cybersecurity and Infrastructure Security Agency.

Unsere öffentliche Selbstverpflichtung spiegelt einen technischen und betrieblichen Ansatz wider, der auf stärkere Identitätskontrollen, sichere Architektur, weniger Schwachstellen, Widerstandsfähigkeit, Transparenz und kontinuierliche Verbesserung ausgerichtet ist.

Auf CISA.gov prüfenSicherheitsarchitektur

Warum das zählt

Sicherheit beim Entwurf entschieden, nicht nachträglich angebaut

Secure by Design verlangt von Softwareherstellern, Verantwortung für die Sicherheitsergebnisse ihrer Kunden zu übernehmen, statt die Arbeit nach unten weiterzureichen. Die Last der Sicherheit sollte bei dem Anbieter liegen, der eine ganze Fehlerklasse einmal beheben kann, und nicht bei jedem Kunden, der sie umkonfigurieren muss.

Hier zählt das mehr als sonst. Virtik wird von den Menschen gekauft, die für die physische Sicherheit an Flughäfen, in Versorgungsbetrieben, auf Campussen und an Behördenstandorten verantwortlich sind. Eine Sicherheitsplattform, die selbst nicht belastbar ist, ist ein Risiko mit dem falschen Etikett — unsere eigene Lage muss also derselben Prüfung standhalten, die wir unseren Kunden für alles andere ermöglichen.

Virtik nutzt die Grundsätze von CISA Secure by Design als Referenzrahmen, um seine Cybersicherheitspraxis, seine Produktarchitektur und seine betriebliche Sicherheitslage zu stärken. Virtik hat sich öffentlich verpflichtet, die Ziele des CISA Secure by Design Pledge voranzubringen.

Schwerpunkte

Vier Bereiche, die die Arbeit tragen

Jeder wird unten mit den absolvierten Schulungen und ihrem Beitrag ausgeführt.

Defensive Cybersicherheit

Bedrohungen erkennen, analysieren und darauf reagieren — und die Wahrscheinlichkeit senken, dass derselbe Vorfall ein zweites Mal eintritt.

5 Kurse

Zero-Trust-Architektur

Niemals vertrauen, immer prüfen — Zugriff wird authentifiziert, autorisiert und fortlaufend bewertet, statt aus der Netzwerkposition abgeleitet zu werden.

6 Kurse

Governance kritischer Werte

Erkennen, was am wichtigsten ist, das Risiko dafür bewerten und es fortlaufend überwachen.

3 Kurse

Infrastruktur- und Netzwerksicherheit

Funk- und Netzwerkexposition ist ein häufiger Einstiegsweg und wird getrennt von der Anwendungssicherheit behandelt.

1 Kurs

Der Pledge

Wozu Virtik sich verpflichtet hat

Der Pledge von CISA benennt sieben Ziele für Softwarehersteller.

  • Mehrfaktor-Authentifizierung
  • Standardpasswörter
  • Ganze Schwachstellenklassen verringern
  • Sicherheitsaktualisierungen
  • Richtlinie zur Schwachstellenmeldung
  • CVEs
  • Spuren von Eindringversuchen

Der Pledge ist eine Verpflichtung, messbare Fortschritte in Richtung dieser Ziele nachzuweisen, und keine Erklärung, dass alle sieben erreicht sind. Die maßgebliche Beschreibung jedes Ziels veröffentlicht CISA; die Seite mit den Unterstützungserklärungen enthält die eigenen Worte der Teilnehmenden.

15 abgeschlossene Kurse

Abgeschlossene Schulungen, nach Bereich

Kursbezeichnungen sind exakt so erfasst, wie sie ausgestellt wurden. Dieser Abschnitt beschreibt Kompetenzen des Teams — was im Produkt umgesetzt ist, steht im Abschnitt darunter.

Defensive Cybersicherheit und Vorfallmanagement

Defensive Cybersicherheit und Vorfallmanagement sind die Teile eines Sicherheitsprogramms, die davon ausgehen, dass irgendwann etwas durchkommt. Die folgenden Schulungen decken den Ablauf vom ersten Anzeichen bis zur Nachbereitung ab.

  • Cyber Defense Analyst — Incident Response

    • Den Lebenszyklus eines Vorfalls von der Erkennung bis zur Behebung verstehen
    • Bedrohungen und Vorfälle erkennen
    • Reaktion und Kommunikation koordinieren
    • Nachbereitung von Vorfällen zur Verringerung von Wiederholungen

  • Cyber Defense Analyst — Indicators of Compromise

    • Anzeichen einer Kompromittierung erkennen
    • Werkzeuge zur Erkennung von Indicators of Compromise einsetzen
    • Ereignisprotokolle und Schadsignaturen analysieren
    • Vorbeugende Behebungsmaßnahmen umsetzen

  • Cyber Defense Analyst — SIEM

    • SIEM-Werkzeuge zur Protokollsammlung und -analyse einsetzen
    • Sicherheitsereignisse zusammenführen und korrelieren
    • Verdächtige Aktivitäten in Echtzeit erkennen
    • Berichte und Alarme für bessere Sichtbarkeit von Bedrohungen

  • Cyber Defense Analyst — Vulnerability Assessments

    • Methoden der Schwachstellenbewertung verstehen
    • Sicherheitslücken in Systemen und Anwendungen erkennen
    • Werkzeuge zum Schwachstellen-Scan einsetzen
    • Behebungen empfehlen und bewährte Praktiken umsetzen

  • Cybersecurity Training for Defense of Internet-Accessible Systems

    • Von außen erreichbare Dienste schützen
    • Angriffe in kontrollierten Umgebungen simulieren und darauf reagieren
    • Fortgeschrittene Abwehrmechanismen umsetzen

Zero Trust und sichere Architektur

Anders als perimeterbasierte Modelle geht Zero Trust davon aus, dass jeder Zugriffsversuch authentifiziert, autorisiert und fortlaufend bewertet werden muss. Weniger implizites Vertrauen verkleinert die Angriffsfläche und begrenzt, wie weit ein Eindringen kommen kann.

  • Zero Trust Basic Principles for Federal Agencies

  • Zero Trust Architecture: Choosing a Model Based on the Task

  • CyberStat Workshops — Pillar 1: Identity, Parts 1 and 2

  • CyberStat Workshops — Pillar 3: Networks

  • CyberStat Workshops — Pillar 4: Applications and Workloads

  • CyberStat Workshops — Pillar 5: Data

Erworbene Kernkompetenzen

  • Mehrfaktor-Authentifizierung und die Verwaltung privilegierter Zugriffe stärken
  • Mikrosegmentierung zur Begrenzung seitlicher Bewegung
  • Feingranulare, risikobasierte Zugriffskontrolle
  • Verschlüsselungskonzepte für Daten bei der Übertragung und im Ruhezustand
  • Fortlaufende Überwachung der Anwendungsaktivität

Was es beiträgt

  • Zero-Trust-Praktiken können implizites Vertrauen verringern, Angriffsflächen verkleinern und Identitäts- und Datensicherheit stärken.

Governance und Verwaltung kritischer Werte

  • Overview of High Value Assets (HVA)

  • A Leader's Approach to Assessment and Authorization (A&A)

  • CDM Dashboard: Auto-creation of API keys

Erworbene Kernkompetenzen

  • High Value Assets definieren und identifizieren
  • Risiko und mögliche Auswirkungen bewerten
  • Schutzstrategien entwickeln
  • Grundsätze des Risikomanagements
  • Konzepte für fortlaufende Überwachung und automatisierte Zugriffsverwaltung

Was es beiträgt

  • Widerstandsfähigkeit gegen Cyberbedrohungen stärken
  • Aktivitäten zur Cybersicherheits-Compliance unterstützen
  • Fähigkeiten im Vorfallmanagement verbessern

Infrastrukturen und Netzwerke absichern

  • Cyber Defense Infrastructure Support Specialist — Wi-Fi Security

Was es beiträgt

  • Stärkere interne WLAN-Sicherheit unterstützen
  • Das Risiko von Funkeinbrüchen verringern
  • Zu umfassenderen Cybersicherheitspraktiken beitragen

Schulung und Produkt

Was umgesetzt ist, im Unterschied zu dem, was gewusst wird

Einen SIEM-Kurs abzuschließen bedeutet nicht, dass Virtik ein SIEM betreibt. Zero-Trust-Workshops abzuschließen bedeutet nicht, dass jede Zero-Trust-Kontrolle in der Produktion aktiv ist. Das sind unterschiedliche Aussagen mit unterschiedlichen Belegen, und wir halten sie bewusst auseinander.

Der Abschnitt oben beschreibt Kompetenzen des Teams. Unten steht die kürzere Liste der Kontrollen, die Eigenschaften der laufenden Plattform sind. Sie ist absichtlich kurz: Sie enthält nur, was standhält, wenn eine prüfende Person darum bittet, es gezeigt zu bekommen.

  • Mandantentrennung auf Datenebene

    Zugriffe werden in der Datenbank mit Row-Level Security durchgesetzt, nicht nur in der Oberfläche, sodass ein Fehler im Client nicht zum mandantenübergreifenden Datenabfluss werden kann.

  • Doppelte Prüfung von Rolle und Berechtigung

    Was eine Person tun darf, wird zweimal und unabhängig geprüft: gegen ihre operative Rolle und gegen die kommerzielle Berechtigung ihrer Organisation.

  • Gesteuerte KI-Ausführung

    KI-Aktionen laufen in expliziten Betriebsmodi mit Richtlinien je Mandant, durchgesetzten Budgets je Nutzer und einer nach Risikoklasse definierten Autorisierungsgrenze für Werkzeuge.

  • Auditierte operative Aktionen

    Folgenreiche Aktionen werden als auditierbare Ereignisse aufgezeichnet, sodass die Nachbereitung aus dem Protokoll arbeitet und nicht aus der Erinnerung.

  • Begrenzte Integrationen mit eigenen Zugangsdaten

    Integrationen erhalten Zugangsdaten je Organisation und unterliegen demselben Berechtigungsmodell wie der Rest der Plattform.

  • Kontrollen bei der Anmeldung

    Mehrfaktor-Authentifizierung steht zur Verfügung, und administrative Oberflächen sind von operativen getrennt, sodass die tägliche Arbeit keine erhöhten Rechte erfordert.

Dies sind dieselben Kontrollen, die auf der Seite zur Sicherheitsarchitektur beschrieben sind — einmal formuliert und hier referenziert, statt mit anderen Worten wiederholt.

Messbarer Fortschritt und was wir noch nicht behaupten

Der Pledge verlangt nachweisbaren Fortschritt. Fortschrittskennzahlen zu veröffentlichen, bevor sie gemessen sind, würde den Sinn verfehlen, deshalb führt diese Seite keine. Was wir heute sagen können, ist die bereits vorhandene Architektur, die abgeschlossenen Schulungen und der Meldeweg, der jetzt offen ist.

Virtik besitzt keine Sicherheitszertifizierung eines Dritten. Es gibt keinen SOC-2-Bericht, kein ISO-27001-Zertifikat und keine FedRAMP-Autorisierung, und die Compliance-Seite nennt, welche nicht vorliegen, statt es der Vermutung zu überlassen.

Heute offen

Ein Meldeweg für Schwachstellen ist eines der sieben Ziele des Pledge und steht jetzt zur Verfügung — jede Person kann eine vermutete Schwachstelle melden und sehen, wozu wir uns im Gegenzug verpflichten.

Schwachstelle meldenTrust Center

Quellen

Offizielle Quellen und weiterführende Seiten

Der Status als Unterzeichner ist bei CISA überprüfbar. Nichts hier verlangt, uns einfach zu glauben.

cisa.gov

Unterzeichner des Secure by Design Pledge

Das eigene Verzeichnis von CISA mit den Organisationen, die unterzeichnet haben.

cisa.gov

Unterstützungserklärungen

Veröffentlichte Erklärungen der Teilnehmenden zur Initiative.

virtik.ai

Sicherheitsarchitektur

Wo die Kontrollen im laufenden System sitzen.

virtik.ai

Trust Center

Sicherheitslage, Governance und Dokumentation, einschließlich des Ausstehenden.

virtik.ai

Verantwortungsvolle KI

Wie KI-Ausführung begrenzt und zugeordnet wird.

virtik.ai

Schwachstellenmeldung

Wie ein Problem gemeldet wird und wozu wir uns verpflichten.

Sie prüfen die Sicherheitslage von Virtik?

Sicherheitsfragebögen, Architekturprüfungen und technische Sitzungen laufen über dieselbe Stelle. Sie erhalten eine klare Auskunft darüber, was vorhanden ist und was nicht.

Sicherheitsteam kontaktierenTrust Center