Control Criteria of ISMAP (August 2024)

Die Werte, die das Inventar laut dieser Kontrolle hervorheben soll, sind die Daten des Kunden und die daraus abgeleiteten Daten; das Inventar dieses Clusters enthält die Images, die liefen, und woraus sie bestehen, also die Software und nicht das, was sie verarbeitete, und eine Kontrolle zur Datenidentifizierung aus einem Software-Inventar zu beantworten, wäre genau die überzogene Behauptung, die dieses Paket verweigert.

Eigentümerschaft heißt, eine benannte Person oder ein Team ist für einen Wert verantwortlich, festgehalten im eigenen Werteregister des Anbieters; ein Cluster hält fest, welche Images liefen und was darin steckt, und nichts in diesen Einträgen sagt, wer für eines verantwortlich ist.

Die Richtlinie, die diese Kontrolle verlangt, regelt, wer die Informationen und informationsverarbeitenden Einrichtungen des Anbieters erreichen darf, und sie wird in der eigenen Governance des Anbieters geschrieben und überprüft; die Policy, die dieser Cluster durchsetzt, entscheidet, welche Images laufen dürfen, ein anderes Thema, das im Englischen dasselbe Wort trägt.

Diese Kontrolle ist eine Mitteilung des Anbieters an seine eigenen Kunden über seinen eigenen Dienst; ein Cluster hält die Änderungen fest, die er zuließ, und unter welcher Policy, und nichts darin sagt, ob jemand informiert wurde.

Diese Kontrolle verlangt, dass der Anbieter seinen Kunden eine Möglichkeit gibt, Protokolle ihrer Nutzung des Dienstes zu erhalten; das Log dieser Kontrolle betrifft den Cluster des Anbieters und wird vom Anbieter gelesen, also die Gegenrichtung zu der, in die die Kontrolle zeigt.

Wer für Überwachung, Bewertung und Behebung einer Schwachstelle verantwortlich ist, legt der Anbieter fest und hält es in seiner eigenen Governance fest; ein Cluster zeigt, dass die Arbeit getan wird, nie, wer sie tun sollte.

Diese Regeln werden in der Entwicklungsorganisation festgelegt und beim Schreiben der Software angewendet; dieser Cluster trifft das Ergebnis als gebautes Image an und kann sagen, was darin steckt und wer es signiert hat, nicht nach welcher Regel die Menschen arbeiteten, die es gebaut haben.

Was der Anbieter darüber veröffentlicht, wie er Software entwickelt, und was seine Offenlegungsrichtlinie zurückhält, wird außerhalb dieses Clusters entschieden und nirgends darin festgehalten.

Die Änderungen, die diese Kontrolle regelt, entstehen im Entwicklungslebenszyklus, bevor etwas gebaut wird; der Änderungsnachweis dieses Clusters betrifft Images, die auf einem laufenden System ankommen, und wird unter 12.1.2 berichtet, wo diese Kriterien danach fragen.

Diese Kontrolle testet die Sicherheitsfunktionen, mit denen ein System gebaut wird, während es gebaut wird; der Scan eines fertigen Images misst, welche bekannten Schwachstellen seine Komponenten tragen, eine andere Messung an einem anderen Gegenstand und kein Ersatz dafür.

Diese Kontrolle ist eine mit einem Lieferanten getroffene, schriftliche Vereinbarung; ein Cluster sieht die Software, die ein Lieferant geliefert hat, nicht die Bedingungen der Lieferung.

Diese Kontrolle betrifft, welches Recht auf die Daten des Kunden zugreifen könnte und welcher Vertrag das regelt; beantwortet wird sie durch die rechtliche Bewertung des Anbieters über seine Auftragnehmer und Verträge, und eine Admission-Entscheidung sieht keines von beiden.

Dieses Dokument ist ein Nachweis, den eine solche Überprüfung liest, nicht die Überprüfung selbst; die geforderte Unabhängigkeit ist eine Eigenschaft dessen, der sie durchführt, und eine Kontrolle kann sich nicht selbst überprüfen. Unter ISMAP führt ein Prüfer aus der Liste registrierter Prüfer die Überprüfung durch, über den vom Anbieter angegebenen Prüfzeitraum.

Die gesamte Anhangstabelle 1 beschreibt, was ein Leitungsorgan tut: bewerten, ob Sicherheitsziele zum Geschäft passen, das Management anleiten, dessen Berichte überwachen, mit Beteiligten kommunizieren und Prüfungen beauftragen. Nichts davon ist eine Eigenschaft eines Clusters, und ein Anbieter belegt es aus den eigenen Aufzeichnungen seiner Leitung.

Anhangstabelle 2 ist das Managementsystem: Geltungsbereich, Richtlinie, Risikobeurteilung und -behandlung, Kompetenz, dokumentierte Information, interne Bewertung, Managementbewertung, Korrekturmaßnahmen und die Risikokommunikation mit Cloud-Kunden, die Kapitel 4.9 ergänzt. Bewertet wird es anhand der eigenen Aufzeichnungen des Anbieters über seinen Betrieb, und ein Cluster ist eines der Dinge, die es steuert, kein Teil davon.

Prüfung vor der Einstellung, Vertragsbedingungen, Sensibilisierungsschulungen, das Disziplinarverfahren und Pflichten, die über ein Ausscheiden hinaus gelten, sind Aussagen über Menschen; eine Admission-Entscheidung über ein Image beobachtet keine davon.

Perimeter, Zutrittskontrollen, Verkabelung, Aufstellung von Geräten und sichere Entsorgung sind Eigenschaften der Rechenzentren, die der Anbieter betreibt oder einkauft; ein Webhook in einem Cluster sieht nichts von dem Gebäude, in dem er läuft.

Netzwerktrennung, Vereinbarungen über Netzwerkdienste und die Übereinstimmung zwischen einem virtuellen Netz und dem physischen darunter werden im Netz und in der Plattform unter den Nodes konfiguriert; diese Kontrolle entscheidet, welche Images laufen dürfen, und sieht nie ein Paket.