Governance und Compliance

Architektur-Governance, Richtlinienverwaltung und Compliance-Rahmenwerke

Erfüllen Sie Organisations-, Sicherheits- und Rechtsvorgaben mit Richtlinien als Code und automatisierter Governance.

Architektur-Governance

Was ist Governance?

Sie stellt sicher, dass Infrastrukturentscheidungen:

Zur Strategie passen.
Rechtliche Anforderungen erfüllen.
Sicherheits- und Kostenrichtlinien befolgen.
Betriebsstandards unterstützen.

Warum Governance wichtig ist

Risikomanagement: teure Fehler verhindern.
Compliance: SOC2, HIPAA, PCI und GDPR erfüllen.
Kostenkontrolle: Optimierungsrichtlinien durchsetzen.
Sicherheit: einheitliche Sicherheitslage.
Betriebliche Exzellenz: bewährte Muster standardisieren.

Richtlinien als Code

Definieren Sie Architekturanforderungen als automatisch durchgesetzte Richtlinien.

Beispielrichtlinien

Richtlinie: Verschlüsselung erforderlich

All databases must be encrypted at rest.
All data in transit must use TLS 1.3.

Richtlinie: hohe Verfügbarkeit

All databases must be deployed in multi-AZ configuration.
All load balancers must span at least 2 availability zones.

Richtlinie: Sicherheitsgruppen

No security groups allowing inbound from 0.0.0.0/0 on port 22 or 3389.
All databases must be in private subnets (not internet-facing).

Richtlinie: Kostenkontrolle

No instances larger than t3.xlarge without approval.
Maximum database storage of 1TB without approval.
All reserved instances must be 1-year or longer.

Richtlinie: Tags

All resources must have:
- owner: name of responsible person
- cost-center: department paying for resource
- environment: prod, staging, dev
- data-classification: public, internal, confidential, restricted

Richtlinien umsetzen

(Demnächst: integrierter Richtlinieneditor und Durchsetzungsmodul.)

Richtlinien in Architecto definieren.
Auf Organisation oder Team anwenden.
Bestehende Architekturen automatisch validieren.
Neue Architekturen bei Erstellung prüfen.
Verstöße mit Korrekturschritten anzeigen.

Compliance-Rahmenwerke

SOC 2 Type II

Kontrollen für Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz.

Architecto unterstützt:

Verschlüsselung bei Speicherung und Übertragung.
Zugriffskontrollen mit IAM.
Auditprotokolle mit CloudTrail und CloudWatch.
Änderungsverwaltung durch Infrastructure as Code.
Dokumentierte Vorfallreaktion.

Architekturprüfung:

✓ Data encrypted at rest (AES-256)
✓ Data encrypted in transit (TLS 1.3)
✓ Multi-AZ deployment (availability)
✓ Access controls configured (least privilege)
✓ Audit logging enabled
✓ Backup and recovery tested

HIPAA: Gesetz zu Übertragbarkeit und Verantwortlichkeit von Krankenversicherungen

Schützt Vertraulichkeit und Sicherheit von Gesundheitsdaten.

Kernanforderungen:

Verschlüsselung aller geschützten Gesundheitsinformationen, PHI.
Zugriffskontrolle und Authentifizierung.
Protokollierung aller Zugriffe.
Backups und Notfallwiederherstellung.
Vorfallverfahren.
Vereinbarungen mit Geschäftspartnern.

Architecto-Muster für HIPAA:

VPC (isolated network)
├─ VPN for healthcare provider access
├─ Encrypted RDS database with encryption keys in AWS KMS
├─ CloudTrail logging all access
├─ VPC Flow Logs for network monitoring
├─ S3 with encryption and versioning for backups
└─ Multi-region disaster recovery

PCI DSS: Datensicherheitsstandard der Zahlungskartenbranche

Schützt Kreditkarten- und Zahlungsdaten.

Kernanforderungen:

Firewall und Netzsegmentierung.
Verschlüsselung von Karteninhaberdaten.
Schwachstellenscans.
Zugriffskontrolle und Authentifizierung.
Überwachung und Protokollierung.
Regelmäßige Sicherheitstests.

Architecto-Muster für PCI DSS:

Internet-Facing Components (DMZ)
├─ WAF (Web Application Firewall)
├─ Load Balancer (all traffic encrypted)

Application Servers (separated segment)
├─ API Gateway with authentication
├─ Encryption for cardholder data (tokenization)
├─ No storage of sensitive card data

Database Servers (isolated)
├─ Never stores card numbers (only tokens)
├─ Encrypted at rest and in transit
├─ Network segmentation (private subnet)
├─ CloudTrail and database audit logs

Schützt personenbezogene Daten von EU-Einwohnern.

Wichtige Rechte:

Auskunft: Betroffene können ihre Daten anfordern.
Vergessenwerden: Daten können gelöscht werden.
Übertragbarkeit: Export im Standardformat.
Widerspruch gegen Verarbeitung.
Datenschutz durch Technikgestaltung.

Für Architecto zu beachten:

Datenresidenz: Daten verbleiben in der EU.
Aufbewahrung und Löschung alter Daten.
Datensparsame Gestaltung.
Einwilligungsverwaltung.
Auftragsverarbeitungsverträge mit Anbietern.

Überwachung und Abweichungserkennung

Was sind Abweichungen?

Sie entstehen, wenn die laufende Infrastruktur von der dokumentierten Architektur abweicht:

Designed Architecture:
- 3 EC2 instances behind load balancer
- Multi-AZ database with 2 read replicas
- CloudFront CDN for static assets

Actual Infrastructure:
- 2 EC2 instances (someone manually shut one down)
- Single database with no replicas (maintenance never done)
- No CDN (disabled to debug issue, never re-enabled)

Abweichungen verhindern

1. Infrastructure as Code

Alles in Terraform oder CloudFormation.
Änderungen vor Anwendung prüfen und freigeben.
Verhindert versehentliche Eingabefehler.

2. Abweichungserkennung (demnächst)

Geplante Vergleiche zwischen Entwurf und Realität.
Alarme bei Abweichungen.
Optionale automatische Korrektur.

3. Änderungsverwaltung

Alle Änderungen über CI/CD.
Manuelle Änderungen verbieten oder kennzeichnen.
Vollständige Auditspur.
Automatische Rücksetzung bei Problemen.

Audit- und Compliance-Berichte

Compliance-Berichte erzeugen

Exportieren Sie die Dokumentation:

✓ SOC 2 Readiness Report
✓ HIPAA Compliance Checklist
✓ PCI DSS Gap Analysis
✓ GDPR Compliance Inventory
✓ Custom Policy Compliance

Auditspur

Vollständiger Verlauf von:

Erstellern und Bearbeitern jeder Architektur.
Änderungen und Zeitpunkten.
Freigaben und Prüfungen.
Analyseergebnissen jeder Phase.
Exporten und Freigaben.

Dokumentation

Automatisch erzeugte Unterlagen:

Datenflussdiagramme für HIPAA und PCI.
Sicherheitsarchitektur.
Geschäftskontinuitätsplan.
Notfallbetriebshandbuch.
Risikobewertungsmatrizen.

Mandanten- und Unternehmens-Governance

Organisationsrichtlinien

Legen Sie organisationsweit fest:

Erlaubte Anbieter: AWS, GCP, Azure.
Erlaubte Muster und Technologien.
Kostenlimits und Budgetkontrollen.
Pflicht-Tags und Namenskonventionen.
Erforderliche Compliance-Rahmenwerke.

Team-Governance

Teams können abweichen durch:

Ausnahmen und Befreiungen.
Temporäre Freigaben.
Zeitlich begrenzte Abweichungen.

Audits und Protokolle

Vollständige Auditspur:

Organization Level:
- Organization created/modified
- Members added/removed
- Policies created/changed
- Budget alerts triggered

Team Level:
- Architectures created/deleted
- Analysis results
- Shares and exports
- Comments and reviews

User Level:
- Login/logout
- API calls
- Document edits
- Settings changes