DSGVO Art. 32
Was Admission Control und Image-Scan Ihres Clusters in einem Zeitraum erfasst haben, ordnet Attestkeep 6 Anforderungen zu (Quelle: Verordnung (EU) 2016/679). 4 davon werden aus diesen Einträgen bewertet; 2 sind als außerhalb des Umfangs markiert, jede mit Begründung.
4 Anforderungen aus Clustersicht.
Fundstellen und Titel so, wie der Bericht sie druckt, also auf Englisch. Öffnen Sie eine Anforderung, um zu lesen, was sie verlangt – nah am Wortlaut des Regelwerks wiedergegeben.
General Data Protection Regulation
Verordnung (EU) 2016/679
Artikel 32 – Sicherheit der Verarbeitung
| Fundstelle | Anforderung | Berichtsabschnitte |
|---|---|---|
| Article 32(1)(b) | Ongoing confidentiality, integrity, availability and resilienceDie Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen. | CoverageAdmission decisionsOutcomesSupply chainControl statement |
| Article 32(1)(d) | Regular testing, assessing and evaluating of the measuresEin Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung. | AvailabilityEvidence chainControl statementIssues |
| Article 32(2) | Risks presented by the processingBei der Beurteilung des angemessenen Schutzniveaus sind die Risiken der Verarbeitung zu berücksichtigen, insbesondere durch unbefugte Offenlegung personenbezogener Daten oder unbefugten Zugang zu ihnen. | Control statementAdmission decisionsTriage decisions |
| Article 32(4) | Persons acting under authorityDer Verantwortliche und der Auftragsverarbeiter unternehmen Schritte, damit ihnen unterstellte natürliche Personen, die Zugang zu personenbezogenen Daten haben, diese nur auf Anweisung verarbeiten. | Evidence chain |
2 Anforderungen außerhalb des Umfangs, und warum
| Fundstelle | Anforderung und Grund |
|---|---|
| Article 32(1)(a) | Pseudonymisation and encryption of personal data Verschlüsselung und Pseudonymisierung sind Eigenschaften der Daten und der Anwendung, die sie verarbeitet; Admission Control regelt, welche Software laufen darf, nicht was diese Software mit einem Datensatz tut. |
| Article 32(1)(c) | Restoring availability and access after an incident Sicherung und Wiederherstellung personenbezogener Daten liegen beim Verantwortlichen; dieses Dokument berichtet die Verfügbarkeit der Admission Control, nicht die der Daten. |
Nachweise aus Einträgen, die der Cluster ohnehin führt.
Nichts wird von Hand ausgefüllt. Jede Antwort zu einer Anforderung trägt einen Status (erfüllt, teilweise, Lücke oder außerhalb des Umfangs), eine Notiz mit den Zahlen des Zeitraums und die Berichtsabschnitte, aus denen diese Zahlen stammen.
Worauf sich das Mapping stützt
Jede bewertete Anforderung wird durch eine oder mehrere dieser Aussagen über die Einträge des Zeitraums beantwortet. Dieselbe Aussage beantwortet dieselbe Frage in jedem Framework; zwei Berichte über denselben Zeitraum können sich daher nicht widersprechen.
- Jede Entscheidung und jede administrative Aktion wird festgehalten2 Anforderungen
- Administrativer Zugang läuft über ein Verzeichnis1 Anforderung
- Admission lehnt nicht konforme Workloads ab1 Anforderung
- Die Kontrolle selbst lief den ganzen Zeitraum1 Anforderung
- Akzeptierte Risiken sind benannt, begründet und laufen ab1 Anforderung
- Nur Images mit nachgewiesener Herkunft dürfen laufen1 Anforderung
- Images kommen nur aus benannten Registries1 Anforderung
- Für jeden Schweregrad ist ein Behebungsfenster festgelegt1 Anforderung
- Jedes Image im Bestand hat einen Scan-Eintrag1 Anforderung
- Images mit schweren Befunden werden abgelehnt1 Anforderung
- Workload-Privilegien werden bei der Admission begrenzt1 Anforderung
Was der Bericht enthält.
Jedes Paket enthält dieselben Abschnitte, unabhängig vom Framework. Markiert sind die, auf die sich die Antworten zu DSGVO Art. 32 stützen, jeweils mit der Zahl der Anforderungen, die auf sie verweisen.
- Organisation
- Framework mapping
- Cluster
- Control statement3
- Coverage1
- Vulnerability findings
- Outcomes1
- Admission decisions2
- Supply chain1
- Triage decisions1
- Break-glass events
- Availability1
- Evidence chain2
- Deployment context
- Issues1
- Ledger
- Population
- Runtime events
- Producer statements (VEX)
Geltungsbereich, wörtlich aus dem Bericht (Englisch).
This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto Article 32 of Regulation (EU) 2016/679. Article 32 requires technical and organisational measures appropriate to the risk of the processing. Evidence that the systems processing personal data are patched, that only known software runs on them, and that the control operates continuously speaks to Article 32(1)(b) and (d) and to Article 32(2). It is not evidence of a lawful basis, of data subject rights, of transfers or of any other obligation in the regulation, and no such claim is made here.
Fragen zu DSGVO Art. 32
Ist das eine Zertifizierung nach DSGVO Art. 32?
Nein. Das Paket ist ein Nachweis aus den clustereigenen Einträgen. Es ist keine Zertifizierung, und kein Auditor muss es anerkennen. Der Absatz zum Geltungsbereich auf dieser Seite ist derselbe, den auch der Bericht enthält.
Warum liegen 2 Anforderungen außerhalb des Umfangs?
Sie fragen nach Dingen, die die Admission- und Scan-Einträge eines einzelnen Clusters nicht zeigen können. Sie werden mit Begründung aufgeführt statt weggelassen, damit jeder Leser des Berichts sieht, dass der Ausschluss bewusst ist.
Welcher Plan enthält DSGVO Art. 32?
Jeder Plan kann danach berichten. Community und Team enthalten 1 Framework Ihrer Wahl, Business 3, Enterprise alle. Die Preise stehen auf der Preisseite.
Wie prüft ein Auditor das Paket?
Im Browser unter attestkeep.com/verify.html, wo nichts hochgeladen wird, oder mit dem kurzen Skript auf der Dokumentationsseite. Beides kommt ohne uns aus. Einzelheiten stehen unter Für Auditoren.
Selbst installieren.
Konto anlegen, die E-Mail mit dem zugesandten Code bestätigen, den kostenlosen Community-Schlüssel auf der Seite Licences holen und mit Helm installieren.
Konto anlegen