На цій сторінці наведено докази, які слід запросити під час оцінювання проєкту із SuperBluOrange. Вона не стверджує, що кожен компонент має певну сертифікацію або що універсальний рівень сервісу діє для кожної співпраці.
Визначте доступ і відповідальність за дані
Перелічіть дані, які обробляє кожен компонент, осіб із доступом до них і порядок погодження та відкликання доступу. Відокремте звичайний доступ служби підтримки клієнтів від прав змінювати баланси, погоджувати виведення коштів, експортувати записи або розгортати реліз.
Для чутливої дії запросіть запропонований процес погодження та запис, доступний після неї. Запис має визначати обліковий запис, дію й контекст, потрібні для розслідування. Спільний обліковий запис адміністратора істотно ускладнив би таке розслідування.
Перевірте, що охоплює кожне підтвердження
| Доказ | Питання для визначення його релевантності |
|---|---|
| Сертифікація або оцінювання | Яку юридичну особу, компонент, версію, обсяг і строк дії охоплено? |
| Тест безпеки | Що тестували, коли, з якими винятками та який стан усунення недоліків? |
| План хостингу й резервного копіювання | Які записи захищено, де та хто може їх відновити? |
| Практична перевірка відновлення | Що відновили, скільки часу це зайняло та чи звірили баланси? |
| Звіт про доступність | Для якого сервісу, періоду вимірювання та винятків отримано показник? |
Підтвердження постачальника базового компонента може підтримати перевірку цього постачальника. Воно не має непомітно перетворюватися на заяву про сертифікацію всього оператора або кожної інтеграції.
Погодьте процес роботи з інцидентами й відновлення
Операційний план має визначати рівні серйозності, контакти, повноваження ухвалювати рішення та очікування щодо оновлень. Цільовий час реагування описує, коли починається робота або комунікація; він відрізняється від цільового часу відновлення сервісу.
Для відновлення визначте допустиму втрату останніх даних і цільовий час відновлення потрібного сервісу. Перевірте наслідки цих рішень для транзакцій та звірки. Саме відновлення бази даних не доводить, що зовнішні платіжні й ігрові записи збігаються з нею.
Обговоріть вимоги безпеки, зазначивши ринок, обмеження хостингу та закупівельний опитувальник. Перегляньте технічну документацію для доказів щодо інтеграції або послуги хостингу для обсягу інфраструктурних робіт.