KI-SaaS-Sicherheit / Bewertungsmethode
Umfang und Beweismittel prüfbar machen.
Diese Methode unterstützt unsere AI SaaS-Sicherheitsaudit. Der Auftragsumfang identifiziert die anwendbaren Tests, Zugriffe, Nachweise und Ergebnisse. Bei dieser Seite handelt es sich um eine Beschreibung des Prozesses, nicht um eine Bewertung eines Produkts.
1. Vereinbaren Sie vor dem Testen die Grenzen
Notieren Sie die Produktversion, Umgebung, Zieldomänen und APIs, Modellkonfiguration, zulässige Konten und Systeme von Drittanbietern. Holen Sie eine schriftliche Genehmigung ein und vereinbaren Sie Testfenster, Stoppbedingungen, Datenverarbeitung und Eskalationskontakte.
Verwenden Sie synthetische oder genehmigte Daten und begrenzte Tests. Die Infrastruktur Dritter benötigt ggf. eine eigene Autorisierung. Codeüberprüfung, Konfigurationsüberprüfung, Anwendungstests und KI-Bewertung sind nur nach Vereinbarung enthalten; Unzugängliche Komponenten bleiben eine explizite Einschränkung.
2. Trennen Sie Beobachtungen von Aussagen
- Getestet: Eine aufgezeichnete Eingabe, Umgebung, Konfiguration und ein beobachtetes Ergebnis stützen den Befund.
- Bewertet: Code, Einstellungen oder Dokumente unterstützen eine engere Schlussfolgerung innerhalb des verfügbaren Zugriffs.
- Erklärt: Ein Anbieter oder Produktbesitzer gibt eine Praxis an, die Rubrex nicht unabhängig überprüfen konnte.
- Nicht bewertet: Der Scheck wurde ausgeschlossen, nicht verfügbar oder nicht schlüssig. Es darf nicht als bestanden gemeldet werden.
Geben Sie für einen Anspruch auf Schulungsnutzung an, welche Daten, Anbieter, Kontokonfiguration, Bedingungen und Zeitraum der Nachweis abdeckt. Eine Einstellungsprüfung kann nicht jede interne Aktion eines externen Anbieters ermitteln.
3. Priorisieren, beheben und erneut testen
Priorisieren Sie Ergebnisse anhand nachgewiesener Auswirkungen, betroffener Benutzer oder Daten, Voraussetzungen und der bewerteten Umgebung. Bewahren Sie die Originalbeweise auf und notieren Sie die Korrektur, die Bedingungen für den erneuten Test, das Ergebnis und die verbleibende Unsicherheit. Ein akzeptiertes Risiko bleibt als akzeptiertes Risiko sichtbar.
Bewerten Sie die Qualität separat anhand vereinbarter Referenzfälle und Bewertungskriterien. Melden Sie die Stichprobenabdeckung und bekannte Grenzwerte, anstatt einen kleinen Testsatz in einen universellen Genauigkeitsanspruch umzuwandeln.
Illustrative Berichtsgliederung / Kein abgeschlossenes Audit
Was ein Bewertungsbericht enthält
Diese Übersicht zeigt die beabsichtigte Struktur. Es enthält keine Kundenergebnisse, bewerteten Produkte oder bestandene Abzeichen.
- Zusammenfassung: Die unterstützte Entscheidung, wichtige Erkenntnisse und nächste Maßnahmen.
- Geltungsbereich: Produktversion, Umgebung, Daten, autorisierte Ziele, Kriterien und Ausschlüsse.
- Datenflusskarte: Kundeneingabe → Anwendung → Abruf oder Tools → Modellanbieter → Ausgabe, mit identifizierten Protokollen, Analysen, Speicher-, Aufbewahrungs- und Löschpfaden.
- Datensätze finden: Identifikator, betroffene Komponente, Beweistyp, erwartetes versus beobachtetes Verhalten, Auswirkung, Schweregradbegründung und Abhilfe.
- Auswertungsergebnisse: Fälle, Bewertungsmethode, Qualitätsergebnisse und Deckungsgrenzen.
- Datensatz erneut testen: Aktualisierte Version, wiederholte Überprüfungen, Ergebnisse und ungelöste Probleme.
- Öffentliche Zusammenfassung, sofern vereinbart: Unterstützte Anweisungen mit entfernten vertraulichen Implementierungsdetails.
Reproduktionsdetails, Geheimnisse und Informationen, die Kunden entlarven könnten, gehören in den eingeschränkten technischen Bericht und nicht auf eine öffentliche Badge-Seite.
Anforderungen für jedes Rubrex-Bewertungsabzeichen
Der vorgeschlagene Wortlaut des Abzeichens lautet „Von Rubrex bewertete Sicherheits- und Datenpraktiken“. Ein Badge wird nicht nur deshalb ausgestellt, weil eine Beurteilung erworben wurde. Für die Ausstellung sind eine abgeschlossene Prüfung und ein veröffentlichtes Verifizierungsprotokoll erforderlich.
- Die Autorität des Produkteigentümers und das bewertete Produkt/die bewertete Domäne müssen überprüft werden.
- Erforderliche Prüfungen und Bestehenskriterien müssen vereinbart werden, bevor die Ergebnisse bekannt werden. Erforderliche Schecks können nicht stillschweigend entfernt werden, um einen Pass zu erhalten.
- Ungelöste kritische oder hohe Sicherheitsbefunde verhindern einen aktiven Badge. Andere Feststellungen und Ausschlüsse müssen auf sicherer Ebene offengelegt werden.
- Jeder Anspruch auf öffentliche Datenpraxis muss durch unterstützende Beweise und eine klar festgelegte Grenze gekennzeichnet sein. Nicht belegte Behauptungen werden weggelassen.
- Die Sanierung muss bei Bedarf erneut getestet werden, bevor die Berechtigung bestätigt wird. KI- oder Scanner-Ausgaben allein sind kein ausreichender Beweis.
- Alle technischen Arbeiten von Rubrex am bewerteten Produkt müssen offengelegt werden. Die Beurteilung kann keine Unabhängigkeit von der von uns durchgeführten Arbeit implizieren.
Ein Badge muss mit einem aktuellen Datensatz verknüpft sein
Der Verifizierungsdatensatz muss das Produkt und die Domäne, die Bewertungs-ID, den Umfang, die bewertete Version, Daten, Nachweiszusammenfassung, Einschränkungen, Ablauf und Status angeben. Jeder, der sich einen Ausweis ansieht, muss diesen Eintrag auf rubrex.ai überprüfen können.
Die Gültigkeit ist auf den angegebenen Umfang und Ablauf beschränkt. Änderungen an Anbietern, Datenflüssen, Autorisierungen, Modelltools oder anderen bewerteten Kontrollen erfordern eine Überprüfung der betroffenen Ansprüche. Eine abgelaufene, ausgesetzte oder widerrufene Bewertung kann nicht als aktiv angezeigt werden. Für die Verlängerung sind neue Beweise erforderlich, nicht nur ein geändertes Datum.
Das Abzeichen stellt keinen Nachweis von SOC 2, ISO-Zertifizierung, Gesetzeskonformität, Null-Schwachstellen oder der Tatsache dar, dass ein Produkt niemals Kundendaten verarbeitet. Eine Bewertung ist ein begrenzter Beweis für das getestete System und kein Versprechen für jede zukünftige Anfrage.
Wenn Sie eine beanspruchte Rubrex-Bewertung überprüfen müssen, senden Sie die Produkt-URL und die Bewertungs-ID an evals@rubrex.ai. Senden Sie keine privaten Berichte oder Anmeldeinformationen über das öffentliche Kontaktformular.
Referenzen, die zum Definieren des Bereichs verwendet werden
Diese Quellen fließen in das Bewertungsdesign ein. Sie zertifizieren weder Rubrex noch ein bewertetes Produkt. Im Bericht sind die tatsächlich überprüften Versionen und geltenden Anforderungen aufzulisten.
- OWASP Application Security Verification Standard 5.0.0: eine Referenz für Anwendungssicherheitsanforderungen.
- OWASP Top 10 für LLM- und GenAI-Anwendungen: eine Referenz für die Risikoabdeckung bei Modellanwendungen.
- OWASP Top 10 für Agentenanwendungen: eine Referenz für Agentenverhalten, Tools und Berechtigungsgrenzen.