RGPD artículo 32
Attestkeep vincula lo que el admission control y el escaneo de images de su cluster registraron en un periodo con 6 requisitos (fuente: Reglamento (UE) 2016/679). De ellos, 4 se evalúan con esos registros; 2 se marcan fuera de alcance, cada uno con el motivo.
4 requisitos a los que responde un cluster.
Referencias y títulos tal como los imprime el informe, es decir, en inglés. Abra un requisito para leer lo que pide, expresado de forma próxima al texto del propio instrumento.
General Data Protection Regulation
Reglamento (UE) 2016/679
Artículo 32 — seguridad del tratamiento
| Referencia | Requisito | Secciones del informe |
|---|---|---|
| Article 32(1)(b) | Ongoing confidentiality, integrity, availability and resilienceLa capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento. | CoverageAdmission decisionsOutcomesSupply chainControl statement |
| Article 32(1)(d) | Regular testing, assessing and evaluating of the measuresUn proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. | AvailabilityEvidence chainControl statementIssues |
| Article 32(2) | Risks presented by the processingAl evaluar la adecuación del nivel de seguridad se tendrán en cuenta los riesgos que presente el tratamiento, en particular la comunicación no autorizada de datos personales o el acceso no autorizado a ellos. | Control statementAdmission decisionsTriage decisions |
| Article 32(4) | Persons acting under authorityEl responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona física que actúe bajo su autoridad y tenga acceso a datos personales solo pueda tratarlos siguiendo instrucciones. | Evidence chain |
2 requisitos fuera de alcance, y por qué
| Referencia | Requisito y motivo |
|---|---|
| Article 32(1)(a) | Pseudonymisation and encryption of personal data El cifrado y la seudonimización son propiedades de los datos y de la aplicación que los trata; un admission control decide qué software puede ejecutarse, no qué hace ese software con un registro. |
| Article 32(1)(c) | Restoring availability and access after an incident La copia de seguridad y la restauración de los datos personales corresponden al responsable; este documento informa de la disponibilidad del admission control, no de la de los datos. |
Evidencia a partir de registros que el cluster ya guarda.
Nada se rellena a mano. La respuesta de cada requisito lleva un estado (cumplido, parcial, carencia o fuera de alcance), una nota con las cifras del propio periodo y las secciones del informe de donde salen esas cifras.
En qué se apoya el mapeo
Cada requisito evaluado se responde con una o varias de estas afirmaciones sobre los registros del periodo. La misma afirmación responde a la misma pregunta en todos los frameworks, así que dos informes de un mismo periodo no pueden discrepar.
- Se registra cada decisión y cada acción administrativa2 requisitos
- El acceso administrativo está federado con un directorio1 requisito
- La admission rechaza los workloads que no cumplen1 requisito
- El propio control estuvo operativo durante todo el periodo1 requisito
- Los riesgos aceptados tienen nombre, justificación y caducidad1 requisito
- Solo pueden ejecutarse images de procedencia establecida1 requisito
- Las images solo pueden entrar desde registries autorizados1 requisito
- Hay un plazo de corrección declarado para cada severidad1 requisito
- Cada image del inventario tiene un registro de escaneo1 requisito
- Se rechazan las images con hallazgos graves1 requisito
- Los privilegios de los workloads se limitan en la admission1 requisito
Qué contiene el informe.
Todos los paquetes llevan las mismas secciones, sea cual sea el framework. Las marcadas son las que citan las respuestas para el artículo 32 del RGPD, con el número de requisitos que cita cada una.
- Organisation
- Framework mapping
- Cluster
- Control statement3
- Coverage1
- Vulnerability findings
- Outcomes1
- Admission decisions2
- Supply chain1
- Triage decisions1
- Break-glass events
- Availability1
- Evidence chain2
- Deployment context
- Issues1
- Ledger
- Population
- Runtime events
- Producer statements (VEX)
El párrafo de alcance, tal como lo formula el informe.
This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto Article 32 of Regulation (EU) 2016/679. Article 32 requires technical and organisational measures appropriate to the risk of the processing. Evidence that the systems processing personal data are patched, that only known software runs on them, and that the control operates continuously speaks to Article 32(1)(b) and (d) and to Article 32(2). It is not evidence of a lawful basis, of data subject rights, of transfers or of any other obligation in the regulation, and no such claim is made here.
Sobre el artículo 32 del RGPD
¿Es esto una certificación según el artículo 32 del RGPD?
No. El paquete es evidencia generada a partir de los propios registros de su cluster. No es una certificación, y ningún auditor está obligado a aceptarlo. El párrafo de alcance de esta página es el mismo que lleva el informe.
¿Por qué 2 de los requisitos están fuera de alcance?
Preguntan por cosas que los registros de admission y escaneo de un cluster no pueden mostrar. Se incluyen con el motivo en lugar de omitirse, para que quien lea el informe vea que la exclusión es deliberada.
¿Qué plan incluye el artículo 32 del RGPD?
Todos los planes pueden generar informes para este framework. Community y Team incluyen 1 framework a elegir; Business, 3; Enterprise, todos. Los precios están en la página de precios.
¿Cómo comprueba un auditor el paquete?
En un navegador, en attestkeep.com/verify.html, donde no se sube nada, o con el breve script del sitio de documentación. Ninguno de los dos nos necesita. La página Para auditores tiene los detalles.
Instálelo usted mismo.
Cree una cuenta, confirme su correo con el código que le enviamos, obtenga la clave Community gratuita en la página Licences e instale con Helm.
Crear una cuenta