Regional · Südkorea

ISMS-P Certification Criteria (November 2023)

Was Admission Control und Image-Scan Ihres Clusters in einem Zeitraum erfasst haben, ordnet Attestkeep 32 Anforderungen zu (Quelle: 정보보호 및 개인정보보호 관리체계 인증기준, Anhang 7 der gemeinsamen Bekanntmachung der Personal Information Protection Commission und des Ministry of Science and ICT, erläutert im 인증기준 안내서 der KISA vom November 2023). 21 davon werden aus diesen Einträgen bewertet; 11 sind als außerhalb des Umfangs markiert, jede mit Begründung.

Konto anlegen Wie ein Paket entsteht

Was das Framework verlangt

21 Anforderungen aus Clustersicht.

Fundstellen und Titel so, wie der Bericht sie druckt, also auf Englisch. Öffnen Sie eine Anforderung, um zu lesen, was sie verlangt – nah am Wortlaut des Regelwerks wiedergegeben.

ISMS-P Certification Criteria

정보보호 및 개인정보보호 관리체계 인증기준, Anhang 7 der gemeinsamen Bekanntmachung der Personal Information Protection Commission und des Ministry of Science and ICT, erläutert im 인증기준 안내서 der KISA vom November 2023

Domäne 1 (Aufbau und Betrieb des Managementsystems): Risikomanagement und Betrieb des Managementsystems. Domäne 2 (Anforderungen an Schutzmaßnahmen): Richtlinie, Organisation und Werteverwaltung; Sicherheit bei Externen; Authentifizierungs- und Berechtigungsverwaltung; Einführung von Informationssystemen und Entwicklungssicherheit; Betriebsmanagement für Systeme und Dienste; Sicherheitsmanagement für Systeme und Dienste; Vorbeugung und Reaktion bei Vorfällen. Personalsicherheit, physische Sicherheit, Zugangssteuerung, Einsatz von Verschlüsselung, Notfallwiederherstellung und die gesamte Domäne 3 (Anforderungen in jedem Schritt der Verarbeitung personenbezogener Daten) sind genannt und bleiben außerhalb

Fundstelle	Anforderung	Berichtsabschnitte
Criterion 1.2.1 정보자산 식별 (Identification of information assets), 인증기준 sentence translated from the Korean guide, 2023.11	All information assets in scope are identified, classified and kept current Es wird ein Klassifizierungsstandard für Informationswerte nach den Merkmalen des Geschäfts der Organisation festgelegt; alle Informationswerte im Geltungsbereich des Managementsystems werden identifiziert und klassifiziert, ihre Kritikalität bewertet und das daraus entstehende Inventar aktuell gehalten.	CoverageSupply chain
Criterion 1.3.3 운영현황 관리 (Management of operating status), 인증기준 sentence translated from the Korean guide, 2023.11	Operating activities are recorded so they can be identified and traced Die Betriebstätigkeiten, die im eingerichteten Managementsystem laufend oder regelmäßig zu erfüllen sind, und der Nachweis ihrer Durchführung werden so aufgezeichnet und verwaltet, dass sie identifiziert und nachverfolgt werden können; das Management prüft und steuert regelmäßig die Wirksamkeit dieser Tätigkeiten.	Evidence chain
Criterion 2.1.3 정보자산 관리 (Management of information assets), 인증기준 sentence translated from the Korean guide, 2023.11	Handling procedures by criticality, and responsibility defined per asset Handhabungsverfahren und Schutzmaßnahmen, die dem Zweck und der Kritikalität eines Informationswerts entsprechen, werden festgelegt und umgesetzt, und die Verantwortung für jeden Wert wird klar festgelegt und verwaltet.	CoverageSupply chainControl statement
Criterion 2.3.3 외부자 보안 이행 관리 (Management of an outsider's security performance), 인증기준 sentence translated from the Korean guide, 2023.11	An outsider's protective measures are supervised by periodic inspection or audit Ob ein Externer die Schutzmaßnahmen umsetzt, die die im Vertrag, in der Vereinbarung oder in internen Richtlinien festgelegten Anforderungen an Informationssicherheit und Datenschutz verlangen, wird durch regelmäßige Inspektionen, Audits oder Ähnliches gesteuert und überwacht.	Supply chainControl statementProducer statements (VEX)
Criterion 2.5.3 사용자 인증 (User authentication), 인증기준 sentence translated from the Korean guide, 2023.11	Access applies a secure authentication procedure, strengthened where needed Der Zugang von Benutzern zu Informationssystemen sowie zu personenbezogenen und wichtigen Informationen nutzt ein sicheres Authentifizierungsverfahren und, wo nötig, ein verstärktes Authentifizierungsverfahren. Auch Maßnahmen gegen den Zugang Unbefugter, etwa eine Begrenzung der Anmeldeversuche und Warnungen bei unzulässigen Anmeldeversuchen, werden festgelegt und umgesetzt.	Evidence chain
Criterion 2.5.5 특수 계정 및 권한 관리 (Management of special accounts and privileges), 인증기준 sentence translated from the Korean guide, 2023.11	Special-purpose accounts and privileges are minimal, separately identified Konten und Berechtigungen für besondere Zwecke, etwa die Administration von Informationssystemen oder die Verwaltung personenbezogener und wichtiger Informationen, werden im geringstmöglichen Umfang vergeben, gesondert gekennzeichnet und kontrolliert.	Evidence chain
Criterion 2.5.6 접근권한 검토 (Review of access rights), 인증기준 sentence translated from the Korean guide, 2023.11	Account and privilege changes are recorded and reviewed periodically Über Anlage, Nutzung und Löschung von Benutzerkonten mit Zugang zu Informationssystemen und zu personenbezogenen und wichtigen Informationen sowie über Vergabe, Änderung und Entzug von Zugriffsrechten wird ein Nachweis geführt und regelmäßig daraufhin überprüft, ob sie noch angemessen sind.	Evidence chain
Criterion 2.8.2 보안 요구사항 검토 및 시험 (Review and testing of security requirements), 인증기준 sentence translated from the Korean guide, 2023.11	Security requirements reviewed and tested, and the problems found corrected Um zu prüfen, ob ein Informationssystem gemäß den vorab festgelegten Sicherheitsanforderungen eingeführt oder umgesetzt wurde, werden Prüfkriterien und -verfahren festgelegt und angewendet, etwa Einhaltung gesetzlicher Anforderungen, Prüfung auf aktuelle Sicherheitsschwachstellen, Umsetzung sicherer Programmierung und eine Datenschutz-Folgenabschätzung; für gefundene Probleme werden Korrekturmaßnahmen ergriffen.	CoverageAdmission decisionsOutcomesControl statement
Criterion 2.8.5 소스 프로그램 관리 (Management of source programs), 인증기준 sentence translated from the Korean guide, 2023.11	Source programs are reachable only by authorized users and kept out of production Quellprogramme werden so verwaltet, dass nur befugte Benutzer darauf zugreifen können, und grundsätzlich nicht in der Betriebsumgebung aufbewahrt.	Supply chainControl statement
Criterion 2.8.6 운영환경 이관 (Transfer to the operational environment), 인증기준 sentence translated from the Korean guide, 2023.11	The move into production follows a controlled procedure, and code runs only once accepted Wird ein neu eingeführtes, entwickeltes oder geändertes System in die Betriebsumgebung überführt, wird ein kontrolliertes Verfahren eingehalten, und ausführbarer Code läuft erst nach den Test- und Abnahmeverfahren.	Control statementAdmission decisionsSupply chain
Criterion 2.9.1 변경관리 (Change management), 인증기준 sentence translated from the Korean guide, 2023.11	Every change to a system asset is managed, and its effect analysed beforehand Es wird ein Verfahren festgelegt und umgesetzt, mit dem jede Änderung an Werten, die mit Informationssystemen zusammenhängen, gesteuert werden kann, und die Auswirkung auf Leistung und Sicherheit des Systems wird vor der Änderung analysiert.	Admission decisionsEvidence chain
Criterion 2.9.4 로그 및 접속기록 관리 (Management of logs and access records), 인증기준 sentence translated from the Korean guide, 2023.11	Log types, retention period and method are decided, and logs kept safe from tampering Für Informationssysteme wie Server, Anwendungen, Sicherheitssysteme und Netzwerksysteme werden Protokollarten (Zugriffsprotokolle von Benutzern, Systemprotokolle, Nachweise vergebener Berechtigungen und Ähnliches), Aufbewahrungsdauer und Aufbewahrungsart festgelegt, und die Protokolle werden sicher aufbewahrt und verwaltet, damit sie nicht gefälscht, verändert, entwendet oder verloren werden.	Evidence chain
Criterion 2.9.5 로그 및 접속기록 점검 (Inspection of logs and access records), 인증기준 sentence translated from the Korean guide, 2023.11	Logs are reviewed against criteria on a cycle, and problems acted on in time Um die ordnungsgemäße Nutzung eines Informationssystems zu sichern und Missbrauch durch Benutzer (unbefugte Verbindungen, übermäßige Abfragen und Ähnliches) zu verhindern, werden Kriterien für die Prüfung von Zugriffs- und Nutzungsprotokollen festgelegt und die Protokolle regelmäßig geprüft; tritt ein Problem auf, wird rechtzeitig nachgesteuert.	Evidence chainAdmission decisionsBreak-glass events
Criterion 2.10.1 보안시스템 운영 (Operation of security systems), 인증기준 sentence translated from the Korean guide, 2023.11	Operating procedures per security system, and the state of policy application managed Für jede Art von Sicherheitssystem werden Betriebsverfahren festgelegt und umgesetzt, etwa Benennung eines Administrators, Aktualisierung der Richtlinie auf den neuesten Stand, Änderungen am Regelwerk und Ereignisüberwachung, und der Stand der Richtlinienanwendung wird je Sicherheitssystem verwaltet.	Control statementAdmission decisionsTriage decisionsEvidence chain
Criterion 2.10.2 클라우드 보안 (Cloud security), 인증기준 sentence translated from the Korean guide, 2023.11	Administrator access and security settings protected against misconfiguration and unauthorized access Bei Nutzung eines Cloud-Dienstes werden Schutzmaßnahmen für Administratorzugang und Sicherheitseinstellungen festgelegt und umgesetzt, damit wichtige und personenbezogene Daten nicht durch unbefugten Zugriff oder durch Fehlkonfigurationen, die sich aus der Dienstart (SaaS, PaaS, IaaS und Ähnliches) ergeben, abfließen oder offengelegt werden.	Control statementAdmission decisionsEvidence chain
Criterion 2.10.3 공개서버 보안 (Security of public servers), 인증기준 sentence translated from the Korean guide, 2023.11	A server exposed to an external network is separated and given strengthened measures Ein Server, der einem externen Netz ausgesetzt ist, wird vom internen Netz getrennt, und verstärkte Schutzmaßnahmen werden festgelegt und umgesetzt: Schwachstellenprüfung, Zugangssteuerung, Authentifizierung sowie Verfahren zum Sammeln, Speichern und Veröffentlichen von Informationen.	CoverageControl statementAdmission decisions
Criterion 2.10.8 패치관리 (Patch management), 인증기준 sentence translated from the Korean guide, 2023.11	The latest patches are applied, with compensating measures where they cannot be Die neuesten Patches werden eingespielt, um Einbrüche über Schwachstellen in Software, Betriebssystemen, Sicherheitssystemen und Ähnlichem zu verhindern. Ist das Einspielen nach Prüfung der Auswirkung auf den Dienst schwierig, werden gesonderte Ausgleichsmaßnahmen vorbereitet und umgesetzt.	CoverageControl statementClusterTriage decisionsIssues
Criterion 2.11.1 사고 예방 및 대응체계 구축 (Establishing an incident prevention and response framework), 인증기준 sentence translated from the Korean guide, 2023.11	A framework for detecting, responding to, analysing and sharing intrusion attempts Es werden ein Rahmen und Verfahren festgelegt, um interne und externe Einbruchsversuche zu erkennen, darauf zu reagieren, sie zu analysieren und Informationen darüber zu teilen, damit Einbrüche und Abflüsse personenbezogener Informationen verhindert und im Ernstfall schnell und wirksam behandelt werden; mit den zuständigen externen Stellen und Fachleuten wird eine Zusammenarbeit aufgebaut.	Admission decisionsBreak-glass events
Criterion 2.11.2 취약점 점검 및 조치 (Vulnerability inspection and action), 인증기준 sentence translated from the Korean guide, 2023.11	Vulnerabilities inspected periodically and acted on, and new ones tracked Eine Schwachstellenprüfung wird regelmäßig durchgeführt, um festzustellen, ob Schwachstellen eines Informationssystems offenliegen, und gefundene Schwachstellen werden umgehend behandelt. Ebenso wird laufend festgestellt, ob neue Sicherheitsschwachstellen aufgetreten sind, und ihre Auswirkung auf das Informationssystem wird analysiert und behandelt.	CoverageAdmission decisionsOutcomesClusterControl statementIssues
Criterion 2.11.3 이상행위 분석 및 모니터링 (Analysis and monitoring of anomalous behaviour), 인증기준 sentence translated from the Korean guide, 2023.11	Flows are collected and analysed so intrusion attempts are detected quickly Netzwerk- und Datenflüsse und Ähnliches werden gesammelt und analysiert, damit Einbruchsversuche von innen oder außen, Versuche, personenbezogene Daten abfließen zu lassen, und betrügerische Handlungen schnell erkannt und behandelt werden können; auf die Ergebnisse von Überwachung und Prüfung wird rechtzeitig reagiert.	CoverageRuntime events
Criterion 2.11.5 사고 대응 및 복구 (Incident response and recovery), 인증기준 sentence translated from the Korean guide, 2023.11	Incidents are notified as the law requires, responded to, and their recurrence prevented Wird ein Anzeichen oder das Auftreten eines Einbruchs oder Abflusses personenbezogener Informationen erkannt, werden die gesetzlichen Melde- und Berichtspflichten eingehalten; Reaktion und Wiederherstellung folgen umgehend dem Verfahren, und nach der Analyse des Vorfalls werden Maßnahmen gegen eine Wiederholung festgelegt und in den Reaktionsrahmen übernommen.	Admission decisionsEvidence chainBreak-glass events

11 Anforderungen außerhalb des Umfangs, und warum

Fundstelle	Anforderung und Grund
Section 1.1 Setting up foundation for management system; the text quoted is criterion 1.1.1 경영진의 참여, 인증기준 sentence translated from the Korean guide, 2023.11	Setting up foundation for management system Beteiligung der Leitung, Ernennung eines verantwortlichen Leiters, Aufbau der Organisation, Geltungsbereich der Zertifizierung, Richtlinie und Zuweisung von Ressourcen sind Entscheidungen, die die Organisation trifft und protokolliert; keine davon ist eine Eigenschaft eines Clusters.
Criterion 1.4.2 관리체계 점검 (Inspection of the management system), 인증기준 sentence translated from the Korean guide, 2023.11	The management system is inspected at least once a year by independent, expert staff Dieses Dokument ist ein Nachweis, den eine solche Prüfung liest, nicht die Prüfung selbst; die geforderte Unabhängigkeit ist eine Eigenschaft dessen, der sie durchführt, und eine Kontrolle kann sich nicht selbst prüfen.
Section 2.2 Personal security; the text quoted is criterion 2.2.1 주요 직무자 지정 및 관리, 인증기준 sentence translated from the Korean guide, 2023.11	Personal security Die Benennung der Träger wichtiger Aufgaben, Funktionstrennung, Sicherheitsverpflichtungen, Sensibilisierungsschulungen, Umgang mit Ausscheidenden und Versetzten sowie Maßnahmen nach einem Sicherheitsverstoß sind Aussagen über Menschen; eine Admission-Entscheidung über ein Image beobachtet keine davon.
Criterion 2.3.1 외부자 현황 관리 (Management of the outsider position), 인증기준 sentence translated from the Korean guide, 2023.11	Outsourcing and external services are identified and their risks understood Was dieses Kriterium identifiziert haben will, ist ein Verzeichnis, wen die Organisation beauftragt und was sie eingekauft hat; ein Cluster sieht die Software, die diese Parteien geliefert haben – darüber wird unter 2.3.3 berichtet –, nicht die Geschäftsbeziehungen dahinter.
Section 2.4 Physical security; the text quoted is criterion 2.4.1 보호구역 지정, 인증기준 sentence translated from the Korean guide, 2023.11	Physical security Schutzbereiche, Zutrittskontrolle, Schutzeinrichtungen, Arbeit in geschützten Bereichen, Kontrolle ein- und ausgeführter Geräte und Clean-Desk-Regeln sind Eigenschaften von Gebäuden; ein Webhook in einem Cluster sieht nichts von dem Gebäude, in dem er läuft.
Section 2.6 Access control; the text quoted is criterion 2.6.2 정보시스템 접근, 인증기준 sentence translated from the Korean guide, 2023.11	Access control Netzwerkzugang, Zugang zu Betriebssystemen, Anwendungen und Datenbanken, WLAN, Fernzugriff und Internetzugang werden im Netz, auf den Hosts und in den Anwendungen selbst konfiguriert; diese Kontrolle regelt, welche Images laufen dürfen, und der administrative Zugang zur Kontrolle selbst wird unter 2.5.3 und 2.5.5 berichtet.
Section 2.7 Application of encryption; the text quoted is criterion 2.7.1 암호정책 적용, 인증기준 sentence translated from the Korean guide, 2023.11	Application of encryption Was mit welcher Stärke verschlüsselt werden muss, legen das Gesetz zum Schutz personenbezogener Informationen und die Richtlinie der Organisation fest, angewendet wird es in den Systemen, die die Daten halten und bewegen; die Signaturen, die diese Kontrolle prüft, belegen, wer sich für ein Image verbürgt hat, und sind nicht die Verschlüsselung, die das Kriterium verlangt.
Criterion 2.8.1 보안 요구사항 정의 (Definition of security requirements), 인증기준 sentence translated from the Korean guide, 2023.11	Security requirements are defined and applied when a system is introduced or changed Die Anforderungen, die dieses Kriterium verlangt, werden in Analyse und Entwurf geschrieben und im Gebauten umgesetzt; dieser Cluster trifft das Ergebnis als gebautes Image an, und ob die Anforderungen vor Arbeitsbeginn festgelegt waren, wird dort belegt, wo die Arbeit geschah. Was die Admission mit dem fertigen Artefakt tut, wird unter 2.8.2 und 2.8.6 berichtet.
Criterion 2.10.9 악성코드 통제 (Control of malicious code), 인증기준 sentence translated from the Korean guide, 2023.11	Malicious code is prevented, detected and responded to Der Scan dieses Produkts ist ein Schwachstellenscan, kein Malware-Scan: Er gleicht die Komponenten eines Images mit einer Datenbank bekannter Schwachstellen ab, findet also Schwächen in Software, die jemand installieren wollte, und sucht nach keinem Virus, Wurm, Trojaner oder Ransomware. Die Prüffragen hier verlangen Antivirensoftware mit aktuellen Signaturen und ein Verfahren zur Eindämmung einer Infektion, und diese Kontrolle ist keines von beiden.
Section 2.12 Disaster recovery; the text quoted is criterion 2.12.1 재해·재난 대비 안전조치, 인증기준 sentence translated from the Korean guide, 2023.11	Disaster recovery Katastrophenarten bestimmen, Wiederherstellungsziele festlegen und eine Wiederherstellung üben ist Planungs- und Übungsarbeit in der ganzen Organisation; eine Admission Control entscheidet, was laufen darf, und besitzt keine Kopie, aus der sich etwas wiederherstellen ließe.
Domain 3 Requirements in each step of personal information processing; the text quoted is criterion 3.1.1 개인정보 수집·이용, 인증기준 sentence translated from the Korean guide, 2023.11	Requirements in each step of personal information processing Die gesamte Domäne 3 folgt den personenbezogenen Daten selbst durch ihren Lebenszyklus, also Erhebung, Aufbewahrung und Nutzung, Weitergabe an Dritte, Vernichtung und die Rechte der betroffenen Person, und wird aus den Einwilligungsnachweisen, dem Datenschutzhinweis und den Verarbeitungssystemen der Organisation beantwortet. Diese Kontrolle sieht nie personenbezogene Daten: Sie entscheidet, welche Container-Images laufen dürfen, und weiß nichts darüber, was sie verarbeiten.

Was Attestkeep erzeugt

Nachweise aus Einträgen, die der Cluster ohnehin führt.

Nichts wird von Hand ausgefüllt. Jede Antwort zu einer Anforderung trägt einen Status (erfüllt, teilweise, Lücke oder außerhalb des Umfangs), eine Notiz mit den Zahlen des Zeitraums und die Berichtsabschnitte, aus denen diese Zahlen stammen.

Worauf sich das Mapping stützt

Jede bewertete Anforderung wird durch eine oder mehrere dieser Aussagen über die Einträge des Zeitraums beantwortet. Dieselbe Aussage beantwortet dieselbe Frage in jedem Framework; zwei Berichte über denselben Zeitraum können sich daher nicht widersprechen.

Jede Entscheidung und jede administrative Aktion wird festgehalten9 Anforderungen
Jedes Image im Bestand hat einen Scan-Eintrag6 Anforderungen
Admission lehnt nicht konforme Workloads ab4 Anforderungen
Administrativer Zugang läuft über ein Verzeichnis3 Anforderungen
Eine Ablehnung oder ein kritischer Befund erreicht eine Person3 Anforderungen
Nur Images mit nachgewiesener Herkunft dürfen laufen3 Anforderungen
Für die laufenden Images liegt ein SBOM vor3 Anforderungen
Jede Image-Änderung wird zusammen mit der Policy festgehalten, die für sie galt2 Anforderungen
Workloads referenzieren Images per Digest, nicht per verschiebbarem Tag2 Anforderungen
Akzeptierte Risiken sind benannt, begründet und laufen ab2 Anforderungen
Befunde werden mit einem nationalen Katalog ausgenutzter Schwachstellen abgeglichen2 Anforderungen
Für jeden Schweregrad ist ein Behebungsfenster festgelegt2 Anforderungen
Images mit schweren Befunden werden abgelehnt2 Anforderungen
Workload-Privilegien werden bei der Admission begrenzt2 Anforderungen
Images, deren Basis-OS keinen Support mehr hat, werden abgelehnt1 Anforderung
Die eigene Erklärung eines vertrauenswürdigen Herstellers zu seinem Produkt wird gelesen und beachtet1 Anforderung
Images kommen nur aus benannten Registries1 Anforderung
Die Befunde eines Runtime-Detektors werden den Images zugeordnet, die sie ausgelöst haben1 Anforderung

Das Paket

Was der Bericht enthält.

Jedes Paket enthält dieselben Abschnitte, unabhängig vom Framework. Markiert sind die, auf die sich die Antworten zu ISMS-P stützen, jeweils mit der Zahl der Anforderungen, die auf sie verweisen.

Mehr zum Paket

Organisation
Framework mapping
Cluster2
Control statement10
Coverage7
Vulnerability findings
Outcomes2
Admission decisions10
Supply chain5
Triage decisions2
Break-glass events3
Availability
Evidence chain10
Deployment context
Issues2
Ledger
Population
Runtime events1
Producer statements (VEX)1

Umfang

Geltungsbereich, wörtlich aus dem Bericht (Englisch).

This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto the ISMS-P Certification Criteria — the 101 criteria a Korean organisation is certified against for information security and personal information protection. The criteria are addressed to the applicant organisation and cover its whole management system, its people, its buildings, its networks and the entire lifecycle of the personal information it processes. Nothing here is a certification audit and nothing here establishes conformity: an auditor from a certification body works through the criteria against the organisation, and this cluster is one system inside its scope. What the period's records support is a part of two of the three domains, and only for the software inside container images: the asset identification of 1.2.1 and 2.1.3, the operating record of 1.3.3, the supplier assurance of 2.3.3, the authentication and privileged accounts of 2.5.3, 2.5.5 and 2.5.6, the development and hand-over criteria of 2.8.2, 2.8.5 and 2.8.6, the change and log criteria of 2.9.1, 2.9.4 and 2.9.5, the security system, cloud and public server criteria of 2.10.1 to 2.10.3, patch management in 2.10.8, and incident prevention, vulnerability inspection, anomaly monitoring and incident response in 2.11.1 to 2.11.5. Domain 3, the requirements at each step of personal information processing, is outside it entirely, as are personal security, physical security, access control, application of encryption and disaster recovery. No criterion is reported as fully met: an ISMS-P criterion states a technical measure and a procedure, a designation or a periodic review together, and a cluster's records answer the first half only. Every criterion sentence quoted below is our translation of the Korean 인증기준 sentence as printed in KISA's guide of November 2023; there is no official English text of the criteria, and each citation says which criterion the translation came from.

Fragen

Fragen zu ISMS-P

Ist das eine Zertifizierung nach ISMS-P?

Nein. Das Paket ist ein Nachweis aus den clustereigenen Einträgen. Es ist keine Zertifizierung, und kein Auditor muss es anerkennen. Der Absatz zum Geltungsbereich auf dieser Seite ist derselbe, den auch der Bericht enthält.

Warum liegen 11 Anforderungen außerhalb des Umfangs?

Sie fragen nach Dingen, die die Admission- und Scan-Einträge eines einzelnen Clusters nicht zeigen können. Sie werden mit Begründung aufgeführt statt weggelassen, damit jeder Leser des Berichts sieht, dass der Ausschluss bewusst ist.

Welcher Plan enthält ISMS-P?

Jeder Plan kann danach berichten. Community und Team enthalten 1 Framework Ihrer Wahl, Business 3, Enterprise alle. Die Preise stehen auf der Preisseite.

Wie prüft ein Auditor das Paket?

Im Browser unter attestkeep.com/verify.html, wo nichts hochgeladen wird, oder mit dem kurzen Skript auf der Dokumentationsseite. Beides kommt ohne uns aus. Einzelheiten stehen unter Für Auditoren.

Selbst installieren.

Konto anlegen, die E-Mail mit dem zugesandten Code bestätigen, den kostenlosen Community-Schlüssel auf der Seite Licences holen und mit Helm installieren.

Konto anlegen