Sicherheit · International (ISO/IEC)

ISO/IEC 27001:2022 (Anhang A)

Was Admission Control und Image-Scan Ihres Clusters in einem Zeitraum erfasst haben, ordnet Attestkeep 12 Anforderungen zu (Quelle: ISO/IEC 27001:2022). 10 davon werden aus diesen Einträgen bewertet; 2 sind als außerhalb des Umfangs markiert, jede mit Begründung.

Konto anlegen Wie ein Paket entsteht

Was das Framework verlangt

10 Anforderungen aus Clustersicht.

Fundstellen und Titel so, wie der Bericht sie druckt, also auf Englisch. Öffnen Sie eine Anforderung, um zu lesen, was sie verlangt – nah am Wortlaut des Regelwerks wiedergegeben.

Information security management systems — Requirements

ISO/IEC 27001:2022

Anhang-A-Controls 5.15, 5.23, 5.25, 5.30, 8.8, 8.9, 8.15, 8.19, 8.28 und 8.32

Fundstelle	Anforderung	Berichtsabschnitte
Annex A 5.15	Access control Regeln zur Steuerung des physischen und logischen Zugangs zu Informationen und anderen zugehörigen Werten müssen auf Grundlage der geschäftlichen und der Informationssicherheitsanforderungen festgelegt und umgesetzt werden.	Evidence chain
Annex A 5.23	Information security for use of cloud services Prozesse für Erwerb, Nutzung, Verwaltung und Beendigung von Cloud-Diensten müssen entsprechend den Informationssicherheitsanforderungen der Organisation festgelegt werden.	Control statementSupply chain
Annex A 5.25	Assessment and decision on information security events Die Organisation muss Informationssicherheitsereignisse bewerten und entscheiden, ob sie als Informationssicherheitsvorfälle einzustufen sind.	Admission decisionsEvidence chainBreak-glass events
Annex A 8.8	Management of technical vulnerabilities Informationen über technische Schwachstellen der genutzten Informationssysteme müssen eingeholt, die Gefährdung der Organisation durch diese Schwachstellen bewertet und geeignete Maßnahmen ergriffen werden.	CoverageAdmission decisionsOutcomesControl statementDeployment contextIssues
Annex A 8.9	Configuration management Konfigurationen, einschließlich Sicherheitskonfigurationen, von Hardware, Software, Diensten und Netzen müssen festgelegt, dokumentiert, umgesetzt, überwacht und überprüft werden.	Control statementAdmission decisions
Annex A 8.15	Logging Protokolle, die Aktivitäten, Ausnahmen, Fehler und andere relevante Ereignisse aufzeichnen, müssen erstellt, gespeichert, geschützt und ausgewertet werden.	Evidence chain
Annex A 8.19	Installation of software on operational systems Es müssen Verfahren und Maßnahmen umgesetzt werden, um die Installation von Software auf Systemen im Betrieb sicher zu steuern.	Control statementAdmission decisionsSupply chain
Annex A 8.28	Secure coding Bei der Softwareentwicklung müssen Grundsätze der sicheren Programmierung angewendet werden, einschließlich des sicheren Bezugs und Einsatzes von Komponenten Dritter.	Supply chainCoverage
Annex A 8.32	Change management Änderungen an informationsverarbeitenden Einrichtungen und Informationssystemen müssen Verfahren des Änderungsmanagements unterliegen.	Triage decisionsEvidence chain
Annex A 5.30	ICT readiness for business continuity Die IKT-Bereitschaft muss auf Grundlage der Ziele zur Geschäftsfortführung und der Anforderungen an die IKT-Kontinuität geplant, umgesetzt, aufrechterhalten und getestet werden.	Availability

2 Anforderungen außerhalb des Umfangs, und warum

Fundstelle	Anforderung und Grund
Clauses 4 to 10	The management system itself Zertifiziert wird das Managementsystem der Organisation; ein Kontrollinstrument liefert Nachweise dafür, kann es aber nicht ersetzen.
Annex A 6 and 7	People and physical controls Nichts aus diesen Control-Gruppen lässt sich von einem Cluster aus beobachten; sie sind aufgeführt, damit erkennbar ist, dass ihr Fehlen in diesem Dokument gewollt ist.

Was Attestkeep erzeugt

Nachweise aus Einträgen, die der Cluster ohnehin führt.

Nichts wird von Hand ausgefüllt. Jede Antwort zu einer Anforderung trägt einen Status (erfüllt, teilweise, Lücke oder außerhalb des Umfangs), eine Notiz mit den Zahlen des Zeitraums und die Berichtsabschnitte, aus denen diese Zahlen stammen.

Worauf sich das Mapping stützt

Jede bewertete Anforderung wird durch eine oder mehrere dieser Aussagen über die Einträge des Zeitraums beantwortet. Dieselbe Aussage beantwortet dieselbe Frage in jedem Framework; zwei Berichte über denselben Zeitraum können sich daher nicht widersprechen.

Jede Entscheidung und jede administrative Aktion wird festgehalten4 Anforderungen
Nur Images mit nachgewiesener Herkunft dürfen laufen2 Anforderungen
Images kommen nur aus benannten Registries2 Anforderungen
Jedes Image im Bestand hat einen Scan-Eintrag2 Anforderungen
Administrativer Zugang läuft über ein Verzeichnis1 Anforderung
Admission lehnt nicht konforme Workloads ab1 Anforderung
Schwellenwerte für Schwachstellen sind strenger, wo der Workload exponiert oder privilegiert ist1 Anforderung
Die Kontrolle selbst lief den ganzen Zeitraum1 Anforderung
Workloads referenzieren Images per Digest, nicht per verschiebbarem Tag1 Anforderung
Akzeptierte Risiken sind benannt, begründet und laufen ab1 Anforderung
Eine Ablehnung oder ein kritischer Befund erreicht eine Person1 Anforderung
Für jeden Schweregrad ist ein Behebungsfenster festgelegt1 Anforderung
Für die laufenden Images liegt ein SBOM vor1 Anforderung
Images mit schweren Befunden werden abgelehnt1 Anforderung
Workload-Privilegien werden bei der Admission begrenzt1 Anforderung

Das Paket

Was der Bericht enthält.

Jedes Paket enthält dieselben Abschnitte, unabhängig vom Framework. Markiert sind die, auf die sich die Antworten zu ISO/IEC 27001 stützen, jeweils mit der Zahl der Anforderungen, die auf sie verweisen.

Mehr zum Paket

Organisation
Framework mapping
Cluster
Control statement4
Coverage2
Vulnerability findings
Outcomes1
Admission decisions4
Supply chain3
Triage decisions1
Break-glass events1
Availability1
Evidence chain4
Deployment context1
Issues1
Ledger
Population
Runtime events
Producer statements (VEX)

Umfang

Geltungsbereich, wörtlich aus dem Bericht (Englisch).

This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto ISO/IEC 27001:2022 Annex A. Certification is granted to an information security management system, not to a control instrument: this document is evidence an assessor can place against a small number of Annex A controls, chiefly A.8.8 technical vulnerability management, A.8.19 software on operational systems and A.8.28 secure coding's deployment half. The management system clauses and the controls that govern people, physical security and suppliers as organisations are outside the scope of this document and are marked as such.

Fragen

Fragen zu ISO/IEC 27001

Ist das eine Zertifizierung nach ISO/IEC 27001?

Nein. Das Paket ist ein Nachweis aus den clustereigenen Einträgen. Es ist keine Zertifizierung, und kein Auditor muss es anerkennen. Der Absatz zum Geltungsbereich auf dieser Seite ist derselbe, den auch der Bericht enthält.

Warum liegen 2 Anforderungen außerhalb des Umfangs?

Sie fragen nach Dingen, die die Admission- und Scan-Einträge eines einzelnen Clusters nicht zeigen können. Sie werden mit Begründung aufgeführt statt weggelassen, damit jeder Leser des Berichts sieht, dass der Ausschluss bewusst ist.

Welcher Plan enthält ISO/IEC 27001?

Jeder Plan kann danach berichten. Community und Team enthalten 1 Framework Ihrer Wahl, Business 3, Enterprise alle. Die Preise stehen auf der Preisseite.

Wie prüft ein Auditor das Paket?

Im Browser unter attestkeep.com/verify.html, wo nichts hochgeladen wird, oder mit dem kurzen Skript auf der Dokumentationsseite. Beides kommt ohne uns aus. Einzelheiten stehen unter Für Auditoren.

Selbst installieren.

Konto anlegen, die E-Mail mit dem zugesandten Code bestätigen, den kostenlosen Community-Schlüssel auf der Seite Licences holen und mit Helm installieren.

Konto anlegen