Projekt anfragen
Zwei Personen von hinten vor einem großen Bildschirm, auf dem Quellcode zur gemeinsamen Durchsicht angezeigt wird

Nearshore · Prüfbar in Ihren Systemen

Qualität und Sicherheit in der Nearshore-Zusammenarbeit

Wenn auf Wunsch ein dediziertes Team aus Antalya an Ihren Systemen arbeitet, müssen Sie nicht auf Zusagen vertrauen: Die Prüfpunkte liegen in Ihrem Repository, Ihrer Pipeline und Ihrem Identity-System. SKAFFON ist dabei Ihr einziger Vertragspartner.

Projekt anfragen Liefermodell aus der Türkei
  • Änderungen per Pull Request mit Code-Review
  • Zugriff über Ihr Identity-System
  • Alle Prüfpunkte in Ihren eigenen Systemen

01Für wen diese Seite ist

Nachsehen statt glauben: die Kontrolle bleibt bei Ihnen

Diese Seite nennt die Prüfpunkte, die Sie bei Lieferung aus Antalya in der Türkei in Ihren eigenen Systemen nachsehen können. Sie richtet sich an IT-Leitung, Informationssicherheit, Datenschutz und Einkauf.

SKAFFON ist Ihr einziger Vertragspartner. Zum Liefermodell: Nearshore Engineering aus der Türkei.

USB-Sicherheitsschlüssel mit Schlüsselsymbol neben einem aufgeklappten Laptop auf hellem Untergrund

02Ablauf

Der Weg einer Änderung bis zur Abnahme

Jede Station liegt in Ihrer Umgebung: vom Pull Request über Code-Review und CI/CD-Pipeline bis zur Abnahme, alles sichtbar in Ihrer Umgebung.

Prüfpunkte entlang einer Änderung Fünf Stationen in Ihren eigenen Systemen: Pull Request, Code-Review, CI/CD-Pipeline, Abnahme, Übergabe. Ihre Systeme: Repository, Pipeline, Identity, Secret-Management Pull RequestÄnderung imRepository Code-ReviewFreigabe vordem Merge CI/CDBuild, Tests,Sicherheitsprüfung AbnahmeKriterien vorabvereinbart ÜbergabeDoku,Runbooks Zugriff über Ihre Konten, Least Privilege, Entzug bei Teamwechsel und Projektende
Prüfpunkte entlang einer Änderung Fünf Stationen in Ihren eigenen Systemen: Pull Request, Code-Review, CI/CD-Pipeline, Abnahme, Übergabe. Ihre Systeme: Repository, Pipeline,Identity, Secret-Management Pull RequestÄnderung im Repository Code-ReviewFreigabe vor dem Merge CI/CDBuild, Tests, Sicherheitsprüfung AbnahmeKriterien vorab vereinbart ÜbergabeDoku, Runbooks Zugriff über Ihre Konten,Least Privilege, Entzug beiTeamwechsel und Projektende

03Prüfpunkte

Acht Stellen, an denen Sie die Arbeit nachprüfen

Jeder Punkt lässt sich in Ihren eigenen Systemen einsehen, ohne dass Sie uns dafür fragen müssen.

  • Änderungen im Repository

    Änderungen entstehen per Pull Request mit Code-Review; die Historie sehen Sie in Ihrem Repository.

  • Automatisierte Prüfung

    Build, Tests und Sicherheitsprüfungen laufen in der CI/CD-Pipeline, zum Beispiel in GitLab (DevSecOps und Software-Lieferketten).

  • Vorab vereinbarte Kriterien

    Definition of Done und Abnahmekriterien stehen vor Beginn fest.

  • Zugriffe über Ihre Konten

    Anmeldung über Ihr Identity-System, Least Privilege, Entzug bei Teamwechsel und Projektende (IAM und Zero Trust).

  • Secrets in Ihrer Umgebung

    Zugangsdaten werden über Ihr Secret-Management bereitgestellt, nicht in Repositories abgelegt.

  • Zugriff nur auf das Nötige

    Das Team erhält nur den Zugriff, den das Projekt braucht; Sie legen den Umfang fest und sehen ihn in Ihrem Identity-System.

  • Vertraulichkeit vor Projektstart

    Die Vertraulichkeit wird vertraglich mit SKAFFON geregelt, bevor das Team an Ihren Systemen arbeitet.

  • Dokumentation im Auftrag

    Dokumentation und Runbooks gehören zum Auftrag und liegen in Ihrem Repository.

Datenfluss

Der sicherste Zugriff ist der, der gar nicht nötig ist

Was ein Team nie sieht, muss nicht geschützt übermittelt werden. Wo sich der Zugriff auf personenbezogene Daten vermeiden lässt, etwa mit Testdaten statt Echtdaten, entfällt die Übermittlungsfrage. Wo nicht, entscheidet der Datenfluss-Fall über die nötigen Garantien.

Vorgehen nach Datenfluss-Fall

04Datenschutz

Türkei und DSGVO: Angemessenheit, Auftragsverarbeitung, Fernzugriff

Die Türkei steht nicht in der Liste der Angemessenheitsbeschlüsse der EU-Kommission. Wo personenbezogene Daten verarbeitet werden, schließen wir mit Ihnen einen Auftragsverarbeitungsvertrag.

Wo aus der Türkei auf personenbezogene Daten zugegriffen werden kann, sind Garantien nach Kapitel V der DSGVO nötig. Das Vorgehen nach Datenfluss-Fall beschreibt Nearshore Engineering aus der Türkei.

Ob ein Fernzugriff als Übermittlung gilt, bewerten Sie mit Ihrer Datenschutzfunktion (EDSA-Leitlinien 05/2021).

05Grenzen

Wann Ihre Vorgaben mehr verlangen, als wir nachweisen

Dann reicht diese Zusammenarbeit für Sie nicht aus:

  • Ihre Vorgaben verlangen Sicherheitsüberprüfungen von Personen nach nationalen Regelungen oder Arbeit ausschließlich in Ihren Räumen.
  • Ihre Vorgaben schließen den Fernzugriff aus Drittländern vollständig aus.
  • Sie benötigen eine Zertifizierung als Lieferantennachweis, die wir nicht vorweisen.

06Weiterlesen

Liefermodell, Sicherheit und Pipeline im Zusammenhang

Prüfpunkte mit Ihrer Informationssicherheit durchgehen

Schildern Sie uns Ihre Vorgaben; wir sagen Ihnen, welche Punkte wir erfüllen und welche nicht.

Projekt anfragen Kontakt