ISO-Readyness ++

Felhőszolgáltatás-nyilvántartás vezetése, minden eszközhöz adatfeldolgozási szerződés, kijelölt felelős és dokumentált kilépési terv, évenkénti felülvizsgálattal. Ennyi elég a megfeleléshez.

A már alkalmazott ClickUp rendszerben önkiszolgáló beszerzési folyamatot építettünk ki, melyben egy igény automatikusan kockázatértékelést, bevezetési checklistet és szerződéssablonokat kapott. Az igényt csak a CTO approválhatta. Mentoráltuk a csapattagokat és bevezettünk egy új IBSZ szabályt egy SOP mellett, mely szerint új infrastruktúrát kizárólag IaC-ként vezethetnek be. A 11 SaaS-t 6-ra redukáltuk, IaC-ba importáltuk. Ennek eredményeképpen a folyamatos kontroll automatizált, szabályozott, dokumentált és auditálható lett.

A kilépési ellenőrzőlistának tartalmaznia kell titoktartási emlékeztetőt, az eszközök visszavételének aláíratását és a hozzáférések visszavonásának határidejét (például 24 óra).

Felhasználtuk az MS365 Entra ID-t mint centralizált SCIM rendszer és external IdP-ként konfiguráltuk az AWS-ben - így a laptopokhoz, MS365 licenszekhez, teszt és prod rendszerekhez, levelezéshez történő hozzáférést egyetlen helyről lehetett vezérelni. A kilépési protokollt dokumentáltuk, az IT vezetőket betanítottuk. A megoldás hatására 48 kolléga jogosultságait lehetett redukálni, az admin szintű hozzáférések száma 8-ról 2-re csökkent, és egy új kilépőnél a jogosultságmegvonás 5 percen belül meg tudott történni.

Az infrastruktúra-változtatásokhoz ticketet kell nyitni, jóváhagyást és visszaállítási tervet rögzíteni, és az éles változásokat naplózni. Ha a csapat a legutolsó két-három módosításról hasonló evidenciát tud mutatni, az a tanúsítványhoz elegendő...

A teljes AWS infrastruktúrára IaC kódokat készítettünk Terraformmal, amelyet code-review approválás után a GitHub Actions CI/CD automatizáltan élesítette mind a teszt és prod rendszereken. A Terraform automatikusan detektálta az eltéréseket (drift) - amelyet fel is használtunk aktívan a migrációhoz - továbbá a hibás élesítéseket egy rollback committal automatikusan, emberi beavatkozás nélkül el lehetett végezni. A folyamat teljesen automatikus, dokumentált, ellenőrzött, auditált lett. Az átlagban 2 hónaponkénti élesítéseket így napi szintűre tudtuk gyorsítani.

Az MI által használt adatforrások jegyzéke tulajdonossal, besorolással és jogalappal, évenként frissítve. A szervezet jelen állapota kimeríti az ISO követelményeket...

Az adatok előállítának módszertanát felmértük, dokumentáltuk és szkriptekkel automatizáltuk, melynek hatására napi szintű adatszettek álltak elő. Az MI modell tanítására (és validációjára) egy batch pipeline-t hoztunk létre, heti automatizált futással, és sikeres validációs eredmények esetén a létrejövő modell élesítésével. A modell szignifikáns F-score javulást mutatott, több hetes iteratív tanítás után (a minőség jelentősen javult), az új folyamat pedig kontrollált, ellenőrzött robosztusságot eredményezett.

Az adatminőségi követelmények leírása, a betanító adatok egyszeri tisztítása és az ellenőrzések dokumentálása. Erről szóló evidenciák a tanúsítás szempontjából megfelelőek...

Az adatminőségi (és mennyiségi) követelményeket a usecase, alkalmazási terület és a modell alapján előre meghatároztuk és dokumentáltuk. A meglévő adatforrásokból a legbővebb adatszettet exportáltuk, normalizáltuk, tisztítottuk, deduplikáltuk és anonimizáltuk - amely folyamatot lekódoltuk az ismételhetőség céljából. A pipeline a létrejövő adatokon validációs teszteket végzett (frissesség, duplikáció, hiányzó értékek és címkeellenőrzés, mennyiségi határértékek vertikálok szerint). A pipeline már első sikeres futtatása után olyan tanító adatokat produkált, amely a modell pontosságát és lefedettségét 14% és 32%-al növelte. Ezekután a pipeline-t és a tanítást havonta, automatizáltan újra futtatták.