Zum Inhalt springen

Verwandeln Sie Ihre Kontakte in Urlaubsgeld mit unserem neuen Kundenempfehlungsprogramm! Erfahren Sie mehr

✕

Best Practices für die Sicherheit von Administratoren, Projektentwicklern und Integrationsspezialisten bei der Verwendung von Jitterbit Harmony

Einführung

Dieses Dokument richtet sich an Administratoren, Projektentwickler und Integrationsspezialisten, die Jitterbit in andere Produkte wie Salesforce, NetSuite und andere Endpoints integrieren. Achten Sie bei der Entwicklung Ihrer Projekte vor allem auf die Sicherheit.

Hinweis

Methodik des Integrationsprojekts enthält nützliche Informationen für den PM eines Integrationsprojekts.

Bevor Sie Projekte starten, sollten Sie kürzlich ein Audit der Sicherheitsinfrastruktur und -verfahren Ihres Unternehmens durchgeführt haben. Ein Sicherheitsaudit ist eine strukturierte, validierte Bewertung der Sicherheit Ihres Informationssystems. Das Sicherheitsaudit misst, ob die Sicherheit Ihres Unternehmens etablierten, branchenüblichen Kriterien entspricht, darunter Richtlinien, Verfahren und Anforderungen.

Hinweis

Informationen zu Sicherheitsaudits und Compliance:

Dies ist keine vollständige Liste. Weitere Ressourcen erhalten Sie möglicherweise über den Sicherheits- und Compliance-Experten Ihres Unternehmens.

Wenn Sie unter behördlichen Auflagen wie der US-amerikanischen FAA oder FDA arbeiten, stellen Sie sicher, dass Ihre Sicherheitsmaßnahmen diesen Anforderungen entsprechen.

Sicherheits- und Datenschutzbestimmungen

Je nachdem, wo Sie Ihr Unternehmen betreiben oder wo Ihre Kunden leben und arbeiten, unterliegen Sie möglicherweise wichtigen gesetzlichen Vorschriften. Diese Vorschriften betreffen den Datenschutz, für den Sie gemeinsam mit Jitterbit verantwortlich sind.

Hinweis

Die folgenden Vorschriften verpflichten Jitterbit, seine Technologiepartner und Sie zur Implementierung und Aufrechterhaltung angemessener administrativer, physischer und technischer Sicherheitsvorkehrungen. Diese Gesetze und Vorschriften gewähren Ihnen bestimmte Datenschutzrechte, die Sie einhalten müssen. Darüber hinaus gelten jeweils spezifische Meldefristen und -anforderungen.

Staatliche und bundesstaatliche Vorschriften der Vereinigten Staaten von Amerika:

Vorschriften der Europäischen Union und der Europäischen Wirtschaftszone:

  • DSGVO (Datenschutz-Grundverordnung) gibt Einzelpersonen in der EU (Europäische Union) und im EWR (Europäischer Wirtschaftsraum) die Kontrolle. Unternehmen müssen sicherstellen, dass ihre Prozesse, die personenbezogene Daten verarbeiten, mit Sicherheitsvorkehrungen zum Schutz der Daten konzipiert und umgesetzt werden. Diese Unternehmen müssen außerdem ihre Richtlinien zur Datenerhebung, -nutzung und -speicherung offenlegen.

Cloud-Agenten und private Agenten

Wenn Sie eine Integration ausführen, verbindet Jitterbit Ihre Daten über die von Ihnen konfigurierten Agenten. Agenten können Cloud-Agenten oder private Agenten und Agenten existieren in Gruppen. Gruppen sind Agentengruppen in derselben Umgebung, die für hohe Verfügbarkeit sorgen. Das bedeutet: Fällt eine Gruppe aus und ist nicht verfügbar, kann eine andere ihren Platz einnehmen und Ihre Arbeit fortsetzen. Cloud-Agentengruppen sind Agentengruppen, die von Jitterbit in der Cloud verwaltet werden. Private Agentengruppen werden von Ihnen verwaltet und verwaltet, indem Sie Ihre eigenen Server oder Instanzen innerhalb Ihrer Firewall nutzen oder virtuell in privaten Clouds gehostet werden. Durch den Einsatz privater Agenten bleiben Ihre sensiblen Geschäftsdaten innerhalb Ihrer verwalteten Netzwerke.

Hinweis

Welcher Agententyp soll verwendet werden?

  • Verwenden Sie Cloud-Agentengruppen, wenn Sie Ihre Integration in der Cloud ausführen möchten und die Skalierbarkeit dieser Gruppen benötigen.
  • Verwenden Sie private Agentengruppen, wenn Sie Integrationen vor Ort ausführen möchten oder müssen.

Cloud-Agent-Gruppen

Cloud-Agenten werden von Jitterbit gewartet und verwaltet. Jitterbit-Cloud-Agenten sind mandantenfähig und gesperrt. Die durchfließenden Daten sind flüchtig und verbleiben nur bis zur vollständigen Verarbeitung auf dem Agenten. Sie können die Jitterbit-Cloud-Agentengruppe oder ihre Agenten nicht wie Ihre privaten Agentengruppen steuern oder konfigurieren.

Wenn die Jitterbit-Cloud-Agentengruppe eine Integration durchführt, verbindet sie sich direkt mit der Anwendung, die die Datenintegration benötigt. Anschließend liest sie Daten aus und sendet sie an diese Anwendungen. Wenn Sie persistenten Speicher in Ihrem Projekt verwenden, bleiben diese 24 Stunden lang auf dem Agenten gespeichert. Die in der Jitterbit-Cloud-Agentengruppe persistenten Daten werden in verschlüsselten Amazon S3 Buckets gespeichert, auf die der Benutzer nicht direkt zugreifen kann. Jede Integration speichert Daten im Bucket ihrer Umgebung. Ausführliche Informationen zur Netzwerksicherheit und bewährten Methoden von Amazon S3 finden Sie unter Amazon S3 Sicherheit.

Wenn gesetzliche Anforderungen die Speicherung von Daten in der Cloud oder außerhalb geografischer Grenzen untersagen, verwenden Sie stattdessen eine private Agentengruppe.

Private Agentengruppen

Da Sie private Agenten verwalten und steuern, kontrollieren Sie auch deren Sicherheit. Bei Verwendung privater Agenten verlassen die Daten Ihre Server nicht. Bei Verwendung einer privaten Cloud wählen Sie den Standort Ihrer Integration Laufzeit Umfeld und steuern, in welchem Netzwerk Ihre Geschäftsdaten übertragen und gespeichert werden.

Private Agenten authentifizieren und kommunizieren mit Harmony über HTTPS. Private Agenten, die hinter Unternehmensfirewalls eingesetzt werden, können für die Kommunikation über einen Unternehmensproxyserver konfiguriert werden. Es sind keine zusätzlichen Netzwerkanforderungen wie das Öffnen von Ports innerhalb von Unternehmensfirewalls erforderlich. Bei der Verwendung privater Agenten liegt die Verantwortung für die Sicherheit in Ihrer Verantwortung.

Jitterbit bietet Ratschläge und Best-Practice-Empfehlungen zum Hosten von privatem Agentencode in Systemanforderungen für private Agenten.

Hinweis

Wenn Sie private Agentengruppen verwenden, beachten Sie bitte die Informationen unter Sicherheits- und Datenschutzbestimmungen.

Sichern Sie Endpoints mit privaten Agenten

Es gibt viele Methoden, mit denen Sie Endpoints sichern können, darunter:

  • Verwenden Sie ein VPN (Virtual Private Network) zusammen mit Verschlüsselung. Netzwerk-Allowlists steuern, wer Zugriff auf Ihr Netzwerk erhält. Informationen zur Verwendung von Whitelists mit privaten Agenten finden Sie unter Informationen zu Whitelists.
  • Stellen Sie sicher, dass alle von Ihnen verwendeten Treiber und Plugins aktuell und getestet sind.

Organisationen und Umgebungen

Verschiedene Nutzer und Gruppen benötigen unterschiedliche Zugriffsebenen für den Zugriff auf Ihre Organisationen und Umgebungen. Ein Benutzer benötigt nicht die gleiche Zugriffsebene wie ein Entwickler oder Administrator. Beispielsweise benötigt ein Entwickler in Ihrer Organisation möglicherweise Ausführungs- und Schreibberechtigungen für den API-Manager, um Sicherheitsprofile und APIs zu erstellen und zu bearbeiten sowie auf bestimmte Funktionen in der Management Console zuzugreifen. Der alltägliche Benutzer benötigt diese erweiterten Berechtigungen nicht. Denken Sie an Benutzer und Gruppen und deren Aufgaben. Beschränken Sie den Zugriff, sodass Benutzer nur das verwenden können, was sie für ihre Aufgaben benötigen.

Wenden Sie Hardware- und Software-Patches an. Bei Cloud-Agentengruppen ist Jitterbit für Codeänderungen verantwortlich. Wenn Sie private Agentengruppen verwenden, überwachen Sie Updates und Patches für Ihr Betriebssystem und Ihre Anwendungssoftware, Treiber und Plug-ins und wenden Sie diese bei Bedarf an.

Bereitstellung einer sicheren Authentifizierung mit OAuth und Multi-Faktor-Authentifizierung, wie z. B. 2FA (Zwei-Faktor-Authentifizierung), sind entscheidend. OAuth wird unter Sicherheitsprofile im API-Manager. 2FA wird in Jitterbit-Passwortkontrollen.

Trennen Sie Entwicklungs- und Testkonten von der Produktion. Dazu gehören separate IDs und Passwörter. Entfernen Sie diese Entwicklungs- und Test-IDs und Passwörter, bevor Sie Code in die Produktion migrieren. Verwenden Sie stattdessen Projektvariablen zur Speicherung von Informationen wie IDs und Passwörtern. Es empfiehlt sich, Entwicklungs-, Test- und Produktionsumgebungen getrennt zu betreiben. Stellen Sie außerdem sicher, dass personenbezogene Daten (PII) nicht bei Tests verwendet werden.

Hinweis

Wenn Sie in einer regulierten Branche wie dem Gesundheitswesen tätig sind oder gesetzlichen Vorschriften hinsichtlich Daten und Datenübermittlung unterliegen, prüfen Sie diese Anforderungen im Rahmen Ihrer Sicherheitsplanung.

API Sicherheit

Notiz

Eine ausführliche Diskussion zur API Sicherheit finden Sie unter API-Manager Sicherheit.

Der Jitterbit API-Manager unterstützt OAuth 2.0 Authentifizierung mit Google, Okta und Salesforce als Identitätsanbieter. NetSuite erzwingt seit der Version 2018.2 die tokenbasierte Authentifizierung (TBA) für Administratoren, Vollzugriff und andere hochprivilegierte Rollen. API Schlüssel und API Geheimnisse können zur Authentifizierung von Benutzern mit der API-Manager API verwendet werden.

Zertifikate

Jitterbit kann sich mit einem SSL-Client bei externen Ressourcen authentifizieren Zertifikate beim Verbinden mit HTTP oder SOAP Endpoints in Integration Studio und mit HTTP- Endpoints oder Webservices in Design Studio. Auf die Einstellungen für Client-Zertifikate kann im Harmony-Portal zugegriffen werden auf der Seite Management Console > Anpassungen > Client-Zertifikate.

Hinzufügen von Zertifikaten zu einem Schlüsselspeicher

Lokal installierte Jitterbit-Anwendungen enthalten einen vertrauenswürdigen Schlüsselspeicher mit den für die sichere Kommunikation über HTTPS erforderlichen Zertifikaten. Beispielsweise fügen Sie dem Jitterbit Java-Schlüsselspeicher ein neues Zertifikat hinzu, wenn Sie einen Proxyserver verwenden und dem lokalen Jitterbit-Client die sichere Kommunikation über den Proxyserver ermöglichen müssen. Sie können bei Bedarf neue Zertifikate hinzufügen. Geänderte Zertifikate müssen ersetzt oder erneuert werden. Informationen und Anleitungen zum Hinzufügen von Zertifikaten zu einem Schlüsselspeicher finden Sie auf diesen Seiten:

Connector-Sicherheit

Wenn Sie Ihr Projekt in eine andere Umfeld migrieren, sollten Sie die Weitergabe privater Informationen vermeiden. Beginnen Sie mit diesen Connector-Sicherheitsfunktionen:

  • Projektvariablen: Beim Arbeiten mit Konnektoren werden Projektvariablen kann zusätzliche Sicherheit bieten. Wenn Sie Scripts oder Transformations erstellen, verwenden Sie Projektvariablen für private Informationen wie Anmelde- oder Benutzer-IDs, Passwörter, Zugriffsschlüssel und andere Informationen, die sicher aufbewahrt werden müssen. Siehe Verwenden von Projektvariablen in Scripts oder Transformations für Informationen und Verfahren.

  • Konfiguration: Zur Laufzeit sind unverschlüsselte Benutzernamen und Passwörter erforderlich. Verwenden Sie Schlüsselspeicher und ziehen Sie diese Informationen aus einer Datenbank, die außerhalb des Agenten gespeichert und erst zur Laufzeit aufgerufen wird.

Tresore von Drittanbietern: Sichere, digitale Online-Tresore schützen Ihre Daten. Dank Verschlüsselung, starker Benutzerauthentifizierung und redundantem Speicher ermöglichen diese Tresore sichere Cloud-Speicherung. Die spezifischen Funktionen, Preise und Anweisungen hängen vom gewählten Anbieter ab.

IP-Allowlists: In den meisten Fällen sind keine speziellen Netzwerk- oder Firewall -Änderungen erforderlich, wenn private Agenten oder Design Studio mit Harmony kommunizieren. Was aber, wenn sich Ihr Netzwerk hinter einer Firewall befindet? Konfigurieren Sie in diesem Fall Ihr Netzwerk für die Kommunikation mit Harmony und verwenden Sie eine Zulassungsliste, um diese Kommunikation zuzulassen. Jitterbit stellt Whitelist-IP-Adressen für jede Region bereit. Siehe Informationen zur Whitelist für weitere Informationen.

Protokollsicherheit

Berücksichtigen Sie bei der Planung von Protokollierung und Sicherheit Ihre Geschäftsanforderungen. Entscheiden Sie, welche Protokollierungsstufe Sie benötigen und welche Risiken Sie aufgrund Ihrer Sicherheitsanforderungen akzeptieren. Jitterbit generiert Protokolle für verschiedene Funktionen, z. B. Betriebsprotokolle, Windows oder Linux Ereignisprotokolle und API Protokolle. Die meisten Kunden nutzen die Cloud-Protokollierung in der Jitterbit-Cloud. Die Protokolldaten werden aus Sicherheitsgründen verschlüsselt. Sie können die Cloud-Protokollierung bei Bedarf deaktivieren.

Hinweis

Wenn Sie die Cloud-Protokollierung deaktivieren, werden keine Anwendungsprotokolle erstellt.

Cloud-Agenten

Wenn eine Cloud-Agentengruppe einen Operation ausführt, wird ein Aktivitätsprotokoll erstellt, das in der Cloud gespeichert wird. Sie können Protokolle über die Laufzeitvorgänge Seite der Management Console. Diese Aufzeichnungen und ihre Details werden 30 Tage lang gespeichert. Jitterbit bietet Protokollierungs- und Fehlerfunktionen, um Sie beim Erstellen und debuggen von Skripts zu unterstützen. WriteToOperationLog()kann zum Schreiben vertraulicher Daten in Protokolle verwendet werden. Wir raten jedoch dringend davon ab, da dies ein Sicherheitsrisiko darstellen kann.

Notiz

Obwohl Jitterbit keine native Unterstützung für die gemeinsame Nutzung von Operation mit Tools wie ELK, Splunk oder Loggly bietet, verfügen viele Protokollüberwachungstools über Agenten, die auf demselben Computer wie der private Agent bereitgestellt werden können. Diese Agenten erfassen dann Daten basierend auf definierten Regeln und geben sie an das Protokollüberwachungstool weiter.

Private Agenten

Durch die Verwendung einer privaten Agentengruppe bleiben alle Ihre Informationen innerhalb Ihrer Organisation und auf Ihren eigenen Servern. Deaktivieren Sie die Cloud-Protokollierung, um das Senden von Protokollen an Harmony zu vermeiden. Am Ende jedes Operation können Sie mithilfe eines Script Protokolldaten lokal senden. Debug-Protokolle, Transformation, Fehlerprotokolle, Endpoint-Fehlerprotokolle und mehr sind verfügbar und können im jitterbit.conf Datei. Siehe Bearbeiten der Konfigurationsdatei - jitterbit.conf für Einstellungen und Werte.