Die FISC Security Guidelines on Computer Systems for Banking and Related Financial Institutions sind entscheidend dafür, wie japanische Finanzinstitute ihre IT-Umgebungen verwalten und sichern sollten. Für viele Organisationen besteht die Herausforderung darin, diese Erwartungen in konkrete, prüfbare Kontrollen auf modernen Daten- und AI-Plattformen zu übersetzen.
Die Databricks-Plattform kann so konfiguriert werden, dass sie Identitätsmanagement, Netzwerkisolation, Verschlüsselung, Datenzugriff und Auditing unterstützt. Durch zentrale Governance, detaillierte Berechtigungen und Data Lineage können Teams Kontrollen wie Funktionstrennung (Segregation of Duties) und Cybersicherheitsmaßnahmen durchsetzen sowie externe Backup- und Wiederherstellungslösungen integrieren, um wichtige Finanzdaten zu schützen.
Databricks bietet außerdem eine FISC Customer Capabilities Mapping-Matrix, die Richtlinienabschnitte mit bestimmten Funktionen der Databricks Data Intelligence Platform und Kundenverantwortlichkeiten verknüpft. Dies ermöglicht es IT-, Sicherheits- und Compliance-Teams, Kontrollen zu entwerfen, zu implementieren und zu testen, die direkt auf FISC abgestimmt sind, und gleichzeitig genau zu verstehen, wie Databricks, der Cloud-Anbieter und der Kunde die Verantwortung teilen.
In den folgenden Abschnitten wird beschrieben, wie Databricks und Unity Catalog FISC-konforme Architekturen unterstützen und wie die Mapping-Matrix in der Praxis angewendet wird.
FISC und seine Auswirkungen auf Finanzinstitute verstehen
Für Banken, Wertpapierfirmen und andere Finanzinstitute in Japan dienen die FISC Security Guidelines als gemeinsamer Benchmark für Regulierungsbehörden, Auditoren und interne Risikoteams bei der Bewertung von Technologierisiken. Anstatt bestimmte Produkte vorzuschreiben, definieren die Richtlinien Prinzipien und Kontrollziele, die Institute in ihren Umgebungen implementieren und nachweisen müssen.
In der Praxis betrifft FISC ein breites Spektrum an Disziplinen, darunter unter anderem:
- Zugriffsverwaltung und Funktionstrennung: Sicherstellen, dass privilegierte Zugriffe streng kontrolliert werden, Rollen klar getrennt sind und Änderungen an Produktionssystemen angemessen gesteuert werden.
- Change-Management und Systementwicklung: Erfordert dokumentierte, getestete und genehmigte Änderungen mit Rückverfolgbarkeit von den Anforderungen bis zur Bereitstellung.
- Datensicherung, Wiederherstellung und Kontinuität: Nachweisen, dass kritische Daten und Dienste innerhalb definierter Wiederherstellungszeit- und Wiederherstellungspunkt-Ziele wiederhergestellt werden können.
- System- und Betriebsüberwachung: Überwachung von Systemen, Netzwerken und Anwendungen auf Leistung, Verfügbarkeit und Sicherheitssignale sowie rechtzeitige Reaktion auf Vorfälle.
- Audit-Trails und Protokollierung: Führen von Protokollen und Aufzeichnungen, die zeigen, wer was wann und in welchen Systemen getan hat, damit Aktivitäten rekonstruiert und überprüft werden können.
- Outsourcing, Cloud-Dienste und Partnermanagement: Behandlung von Cloud- und anderen Drittanbietern als Erweiterung der eigenen Umgebung des Instituts, mit strukturierter Due Diligence, vertraglichen Absicherungen und laufender Überwachung der Sicherheits- und Kontrollwirksamkeit.
Eine FISC-konforme Architektur auf Databricks berücksichtigt sowohl Kontrollen auf Ebene der Databricks Data Intelligence Platform als auch kundenspezifische Anforderungen.
Wie Databricks und Unity Catalog die FISC-Compliance unterstützen
Die Databricks-Plattform mit Unity Catalog kann als Governance- und Sicherheitsebene über verschiedene Clouds hinweg sowohl für Daten- als auch für AI-Workloads eingesetzt werden. Sie kann verwendet werden, um technische Kontrollen im Zusammenhang mit den FISC-Erwartungen in einigen Schlüsselbereichen zu implementieren:
- Zugriffskontrolle und Funktionstrennung: Zentralisierte RBAC/ABAC und feingranulare Berechtigungen auf Kataloge, Schemata, Tabellen und AI-Assets unterstützen das Prinzip der minimalen Rechtevergabe (Least Privilege) und eine klare Trennung zwischen Administrator-, Entwickler- und Geschäftsrollen.
- Prüfbarkeit und Lineage: Umfassende Audit-Logs und End-to-End-Lineage machen es einfacher nachzuweisen, wer wann und über welche Pipelines oder Modelle auf was zugegriffen hat, was die FISC-Anforderungen an die Überwachung und Protokollierung direkt unterstützt.
- Verschlüsselung und Schlüsselverwaltung: Databricks verschlüsselt Kundeninhalte unter seiner Kontrolle während der Übertragung (in transit) und im Ruhezustand (at rest) und unterstützt vom Kunden verwaltete Schlüssel (CMKs) für berechtigte Dienste. Kunden bleiben dafür verantwortlich, die Verschlüsselung zu aktivieren und CMKs in ihrem eigenen Cloud-Speicher (z. B. Amazon S3, Azure Blob Storage oder Google Cloud Storage (GCS)) zu konfigurieren, was den FISC-Erwartungen zum Schutz sensibler Finanzdaten in Speicherumgebungen entspricht.
- Netzwerkisolation und Authentifizierung: Private Netzwerkoptionen, IP-Einschränkungen, Egress-Kontrollen sowie eine starke Authentifizierung über SSO und MFA tragen dazu bei, das Risiko von Cyberangriffen zu verringern und nachzuweisen, dass der Zugriff auf regulierte Systeme streng kontrolliert wird.
- Enhanced Security Monitoring und Compliance Security Profile
- Für regulierte und risikoreiche Workloads bietet Databricks zwei optionale Zusatzfunktionen: Enhanced Security Monitoring (ESM) und das Compliance Security Profile (CSP), die die standardmäßigen Plattformkontrollen verstärken. ESM führt Cluster auf gehärteten Betriebssystem-Images aus und stellt zusätzliche Sicherheits-Agents für die Antiviren- und Malware-Erkennung, die Überwachung der Dateiintegrität sowie das Senden von Sicherheitsereignissen an Ihr Protokollziel (z. B. ein SIEM) neben den standardmäßigen Databricks-Audit-Logs bereit. Darüber hinaus scannt Databricks regelmäßig repräsentative Host-Images auf bekannte Schwachstellen und teilt Schwachstellenberichte mit Workspace-Administratoren, sobald neue Images veröffentlicht werden.
- CSP umfasst alle ESM-Funktionen und erzwingt strengere Konfigurations-Baselines, einschließlich automatischer Cluster-Updates mit konfigurierbaren Wartungsfenstern und, auf unterstützten Plattformen, spezifischen Instanztyp- und Verschlüsselungsanforderungen.
- Zusammen ermöglichen ESM und CSP es Kunden, gehärtete Laufzeitumgebungen für sensible Finanzdaten-Workloads festzulegen. Dies hilft dabei, Auditoren gegenüber nachzuweisen, dass Rechenumgebungen den höheren betrieblichen Sicherheitserwartungen der FISC-Richtlinien entsprechen. Kunden können ESM und CSP auf ausgewählten Workspaces und Clustern basierend auf ihren regulatorischen, Risiko- und Überwachungsanforderungen aktivieren.
Mithilfe dieser Funktionen können Institute die Plattform so konfigurieren, dass sie technische Kontrollen implementieren, die auf die FISC-Erwartungen abgestimmt sind. Um Teams dabei zu helfen, diese Funktionen direkt auf bestimmte Richtlinienabschnitte anzuwenden, bietet Databricks eine Mapping-Matrix, die FISC-Anforderungen mit Databricks-Funktionen und gemeinsamen Verantwortlichkeiten verknüpft.
FISC-Anforderungen auf Databricks-Funktionen abbilden
Die FISC Customer Capabilities Mapping-Matrix verknüpft jeden Richtlinienabschnitt mit bestimmten Databricks-Funktionen. Ihre IT-, Sicherheits-, Rechts- und Compliance-Teams können die Matrix für Folgendes nutzen:
- Identifizieren, welche Databricks-Funktionen die jeweiligen FISC-Kontrollziele unterstützen
- Verstehen, wo Konfigurationen, Prozesse oder Nachweise seitens des Kunden erforderlich sind
- Kontrollen so entwerfen, implementieren und testen, dass sie direkt auf FISC zurückgeführt werden können
Auf hoher Ebene unterscheidet die Matrix zwischen:
- Databricks-Plattformkontrollen: einschließlich Verschlüsselung, gehärteten Laufzeiten, Audit-Protokollierung und Governance-Funktionen, die Databricks betreibt und kontinuierlich validiert.
- Kundenverantwortlichkeiten: einschließlich der Definition von Richtlinien, der Konfiguration von IAM, der Integration von Protokollen in SIEM-Tools sowie der Pflege interner Verfahren und Nachweise.
Durch die Überprüfung jedes anwendbaren Richtlinienabschnitts zusammen mit den entsprechenden Databricks-Funktionen und Hinweisen können Kundenteams ein FISC-konformes Kontroll-Framework erstellen, das in ihr organisatorisches Risikomanagementprogramm passt und auf ihr Betriebsmodell abgestimmt ist.
Sicherheit und das Modell der gemeinsamen Verantwortung
Databricks arbeitet nach einem Modell der gemeinsamen Verantwortung. Databricks und der Cloud-Anbieter sind für die Sicherung der Plattform und der zugrunde liegenden Infrastruktur verantwortlich. Gleichzeitig sind die Kunden für die Konfiguration und den Betrieb von Databricks für ihre eigenen Daten, Workloads und regulatorischen Verpflichtungen verantwortlich.
Aufseiten von Databricks gehören zu den Verantwortlichkeiten:
- Härtung und Betrieb des Databricks-Service und der Control Plane
- Bereitstellung grundlegender Sicherheits- und Governance-Kontrollen wie RBAC/ABAC, Verschlüsselung, Audit-Protokollierung und Optionen für private Netzwerke
- Aufrechterhaltung unabhängiger Zertifizierungen und Testate, die das Design und die Wirksamkeit dieser Kontrollen belegen
Auf Kundenseite gehören zu den Verantwortlichkeiten:
- Klassifizierung von Daten und Definition risikoangemessener Kontrollen
- Konfiguration von Identitäts- und Zugriffskontrollen (z. B. SSO, MFA, SCIM-Gruppen, Unity Catalog-Berechtigungen)
- Aktivierung und Integration von Protokollierung, Überwachung und Alarmierung mit SIEM- und GRC-Tools
- Konzeption und Betrieb von Backup-, Disaster-Recovery- und Betriebsprozessen, die die Anforderungen von FISC und internen Richtlinien erfüllen
Soweit anwendbar, beschreibt die Databricks FISC Customer Capabilities Mapping Matrix die vom Kunden konfigurierbaren Kontrollen für jede Richtlinieneinheit. Das Sicherheitsmodell der Databricks Data Intelligence Platform beschreibt die zugrunde liegenden Plattformkontrollen, die diese Funktionen unterstützen. Mit der Matrix als Leitfaden können Kunden auf FISC ausgerichtete Kontrollen dokumentieren, nachweisen, wie die geteilte Verantwortung durchgängig geregelt ist, und aufzeigen, wie sich Databricks in ihre umfassendere Sicherheits- und Compliance-Architektur einfügt.
Erweiterung der FISC-Kontrollen auf AI- und Machine-Learning-Workloads
Da Finanzinstitute zunehmend AI- und Machine-Learning-Modelle für Kredit-Scoring, Betrugserkennung und andere regulierte Anwendungsfälle einsetzen, müssen sich auf FISC ausgerichtete Kontrollen über Datenpipelines hinaus auf die Model Governance und Inferenzumgebungen erstrecken. Databricks unterstützt dies durch die Model Registry von Unity Catalog, die eine lückenlose Model Lineage bietet, die Trainingsdaten, Codeversionen und Evaluierungsmetriken mit jeder registrierten Modellversion verknüpft, sowie versionsgesteuerte Promotion-Workflows und Audit-Log-Einträge für jeden Lese-, Schreib- oder Phasenübergang eines Modells.
Für Institutionen, die ein strukturiertes Framework für AI-spezifische Risiken wünschen, ordnet das Whitepaper „Databricks AI Security Framework Agentic AI Extension“ (DASF 3.0 Google-Tabelle, Excel) 97 AI-spezifische Risiken 73 Kontrollen über AI-Systemkomponenten hinweg zu. Dies deckt Bereiche wie die Sicherheit von AI-Agents, Model Governance, die Integrität von Trainingsdaten und die Inferenzsicherheit ab und kann in Ihre Prozesse zur Due-Diligence-Prüfung von Anbietern, zur Outsourcing-Überwachung und zur internen AI-Risikobewertung integriert werden. Wenn AI-Workloads regulierte Daten verarbeiten, stellt die Aktivierung des Compliance Security Profile (CSP) sicher, dass die zugrunde liegende Compute-Umgebung dieselbe gehärtete Baseline erfüllt, die für andere sensible Finanzdaten-Workloads erforderlich ist.
Verwendung der Mapping-Matrix: Wichtige Überlegungen
Hinweis: Dieser Blog und die Anleitung zur Kontrollzuordnung dienen ausschließlich zu Informationszwecken und können Ungenauigkeiten oder Auslassungen enthalten. Wir behalten uns das Recht vor, diese Materialien jederzeit und ohne vorherige Ankündigung zu aktualisieren. Lesern wird empfohlen, geeignete technische und rechtliche Experten zu konsultieren, um eine ordnungsgemäße Implementierung der Kontrollen und die Einhaltung gesetzlicher Vorschriften zu gewährleisten.
Nächste Schritte zur FISC-Compliance mit Databricks
Um fortzufahren, ziehen Sie die folgenden Schritte in Betracht:
- Bewerten Sie Ihren aktuellen Sicherheitsstatus mit dem Security Analysis Tool
- Führen Sie vor der Behebung von Kontrollmängeln das Databricks Security Analysis Tool (SAT) aus, um Ihre Workspace-Konfiguration anhand von Best Practices für die Sicherheit zu bewerten und Lücken wie öffentlichen Netzwerkzugriff, fehlende Protokollierung oder Administrator-Konten ohne MFA aufzuzeigen. Die SAT-Ausgabe dient als praktischer Leitfaden zur Priorisierung und als Audit-Nachweis. Bitte beachten Sie, dass das SAT im Ist-Zustand („as-is“) ohne offiziellen Support oder SLAs bereitgestellt wird.
- Nutzen Sie das Databricks Capabilities Mapping:
- Gehen Sie die FISC–Databricks Customer Capabilities Mapping-Matrix mit Ihren Audit- und Sicherheitsteams durch, um Kontrolllücken zu identifizieren und Behebungsmaßnahmen zu planen.
- Prüfen Sie die Sicherheits- und Compliance-Materialien von Databricks:
- Besuchen Sie das Databricks Security and Trust Center unter databricks.com/trust, um weitere Informationen zu Zertifizierungen und Berichten wie ISO 27001, SOC 1 und SOC 2 Typ II usw. zu erhalten.
- Nutzen Sie Unity Catalog für eine zentrale Governance:
- Verwenden Sie Unity Catalog, um feingranulare Zugriffskontrollen durchzusetzen, Berechtigungen zu verwalten und die Lineage für sensible Finanzdaten über verschiedene Clouds hinweg zu verfolgen.
- Arbeiten Sie teamübergreifend und mit den Databricks-Teams zusammen:
- Arbeiten Sie mit Ihren internen Sicherheits-, Compliance- und Rechtsteams sowie gegebenenfalls mit Ihren Databricks-Ansprechpartnern zusammen, um sich über eine auf FISC ausgerichtete Architektur auf der Databricks Data Intelligence Platform zu informieren.
Diese Schritte können Ihnen dabei helfen, die Funktionen von Databricks zur Unterstützung Ihrer FISC-Compliance-Ziele operativ umzusetzen.
(Dieser Blogbeitrag wurde mit KI-gestützten Tools übersetzt.) Originalbeitrag