Control Criteria of ISMAP (agosto de 2024)
Attestkeep vincula lo que el admission control y el escaneo de images de su cluster registraron en un periodo con 42 requisitos (fuente: ISMAP Steering Committee; edición japonesa revisada por última vez el 1 de agosto de 2024; traducción de referencia al inglés revisada por última vez el 22 de septiembre de 2023, con tablas anexas acordes con la edición de 2024). De ellos, 24 se evalúan con esos registros; 18 se marcan fuera de alcance, cada uno con el motivo.
24 requisitos a los que responde un cluster.
Referencias y títulos tal como los imprime el informe, es decir, en inglés. Abra un requisito para leer lo que pide, expresado de forma próxima al texto del propio instrumento.
Control Criteria of ISMAP
ISMAP Steering Committee; edición japonesa revisada por última vez el 1 de agosto de 2024; traducción de referencia al inglés revisada por última vez el 22 de septiembre de 2023, con tablas anexas acordes con la edición de 2024
Tabla anexa 3 (criterios de control): 8.1 responsabilidad sobre los activos, 9.1 y 9.2 control de acceso, 12.1.2 gestión de cambios, 12.4 registro y supervisión, 12.5 control del software en producción, 12.6 gestión de vulnerabilidades técnicas, 14.2 seguridad en los procesos de desarrollo y soporte, 15.1 relaciones con proveedores y 18.2 revisiones de la seguridad de la información. Las tablas anexas 1 y 2 (criterios de gobierno y de gestión) se nombran y quedan fuera
| Referencia | Requisito | Secciones del informe |
|---|---|---|
| Attached table 3, control 8.1.1 (translated from the Japanese text of the 2024-08-01 edition) | An inventory of assets is drawn up and maintained (basic statement requirement)Se deben identificar la información, los demás activos asociados a la información y las instalaciones de tratamiento de la información, y se debe elaborar y mantener un inventario de esos activos. | CoverageSupply chain |
| Attached table 3, control 9.2.3 (translated from the Japanese text of the 2024-08-01 edition) | The allocation and use of privileged access rights is restricted (basic statement requirement)La asignación y el uso de derechos de acceso privilegiado se deben restringir y controlar. | Evidence chain |
| Attached table 3, control 12.1.2 (translated from the Japanese text of the 2024-08-01 edition) | Changes that affect information security are controlled (basic statement requirement)Se deben controlar los cambios en la organización, los procesos de negocio, las instalaciones de tratamiento de la información y los sistemas que afectan a la seguridad de la información. | Admission decisionsEvidence chain |
| Attached table 3, control 12.1.2.1 | Configuration management processes, and significant changes recordedLa organización garantiza que la gestión de cambios de la organización, los procesos de negocio, los equipos de tratamiento de la información y los sistemas incluye desarrollar, documentar e implementar procesos y planes de gestión de configuración para equipos y componentes del sistema, e identificar y registrar los cambios significativos. | Admission decisionsControl statementEvidence chain |
| Attached table 3, control 12.1.2.13 | The most restrictive configuration that still meets operational requirementsLa organización garantiza que la gestión de cambios de los equipos y sistemas de tratamiento de la información incluye los elementos de configuración más restrictivos que sean compatibles con los requisitos operativos. | Control statementAdmission decisions |
| Attached table 3, control 12.1.2.14 | Unauthorized changes to software detected by integrity verificationLa organización garantiza que la gestión de cambios de los equipos y sistemas de tratamiento de la información incluye la detección de cambios no autorizados en el software y el firmware mediante herramientas de verificación de integridad. | Control statementSupply chainAdmission decisions |
| Attached table 3, control 12.4.1 (translated from the Japanese text of the 2024-08-01 edition) | Event logs are produced, kept and regularly reviewed (basic statement requirement)Se deben generar, conservar y revisar periódicamente registros de eventos que recojan actividades de usuarios, excepciones, fallos y eventos de seguridad de la información. | Evidence chain |
| Attached table 3, control 12.4.2 (translated from the Japanese text of the 2024-08-01 edition) | Logging facilities and log information are protected (basic statement requirement)Las instalaciones de registro y la información registrada se deben proteger frente a manipulaciones y accesos no autorizados. | Evidence chain |
| Attached table 3, control 12.4.3 (translated from the Japanese text of the 2024-08-01 edition) | Administrator and operator activities are logged, protected and reviewed (basic statement requirement)Se deben registrar las actividades de los administradores y operadores del sistema, y esos registros se deben proteger y revisar periódicamente. | Evidence chain |
| Attached table 3, control 12.5.1 (translated from the Japanese text of the 2024-08-01 edition) | Procedures control the installation of software on operational systems (basic statement requirement)Se deben implementar procedimientos para controlar la instalación de software en los sistemas en producción. | Control statementAdmission decisionsSupply chain |
| Attached table 3, control 12.6.1 (translated from the Japanese text of the 2024-08-01 edition) | Vulnerability information obtained in time, exposure evaluated, measures taken (basic statement requirement)Se debe obtener a tiempo información sobre las vulnerabilidades técnicas de los sistemas de información en uso, evaluar la exposición de la organización a ellas y tomar las medidas adecuadas para abordar el riesgo asociado. | CoverageAdmission decisionsOutcomesControl statementIssues |
| Attached table 3, control 12.6.1.1 | The information vulnerability management needs about each piece of softwareLa organización garantiza que la información necesaria para gestionar las vulnerabilidades técnicas (incluidos defectos de software y configuraciones incorrectas) incluye el fabricante del software, el número de versión, el estado de despliegue (por ejemplo, qué software está instalado en qué sistema) y la persona de la organización responsable del software. | Supply chainCoverage |
| Attached table 3, control 12.6.1.4 | What a technical vulnerability management process must coverLa organización garantiza que la gestión de vulnerabilidades técnicas incluye la vigilancia de vulnerabilidades, la evaluación de su riesgo, la aplicación de parches, el seguimiento de los movimientos de activos y todas las responsabilidades de coordinación necesarias. | CoverageAdmission decisionsOutcomesControl statementTriage decisionsIssues |
| Attached table 3, control 12.6.1.5 | The information resources used to identify technical vulnerabilitiesLa organización identifica los recursos de información (como herramientas de pruebas de vulnerabilidades) que se usan para identificar vulnerabilidades técnicas y mantener un conocimiento continuo de ellas, en función del software y otras tecnologías (según el inventario de activos de la organización). | CoverageClusterControl statement |
| Attached table 3, control 12.6.1.6 | Those resources are updated as the inventory changesLa organización garantiza que los recursos de información sobre vulnerabilidades técnicas se actualizan cuando cambia el inventario de activos o se descubren otros recursos nuevos o útiles. | CoverageClusterControl statement |
| Attached table 3, control 12.6.1.12 | An audit log of the procedures performed, patches includedLa organización mantiene un registro de auditoría de todos los procedimientos realizados, incluida la aplicación de parches correctivos. | Evidence chainAdmission decisions |
| Attached table 3, control 12.6.1.15 | Vulnerability management aligned with incident managementLa organización garantiza que un proceso eficaz de gestión de vulnerabilidades técnicas está alineado con la gestión de incidentes, para comunicar los datos de vulnerabilidades al departamento de respuesta a incidentes y preparar procedimientos técnicos que se aplicarán en caso de incidente, abordando las vulnerabilidades en toda la organización. | Admission decisionsBreak-glass events |
| Attached table 3, control 12.6.1.18.PB (translated from the Japanese text of the 2024-08-01 edition) | Vulnerability management information is made available to customers (basic statement requirement)El proveedor de servicios en la nube pone a disposición de sus clientes información sobre la gestión de las vulnerabilidades técnicas que puedan afectar a los servicios en la nube que presta. | CoverageEvidence chain |
| Attached table 3, control 12.6.2 (translated from the Japanese text of the 2024-08-01 edition) | Rules govern the installation of software by users (basic statement requirement)Se deben establecer y aplicar reglas que regulen la instalación de software por parte de los usuarios. | Control statementAdmission decisionsSupply chain |
| Attached table 3, control 14.2.5 (translated from the Japanese text of the 2024-08-01 edition) | Secure system engineering principles are established and applied (basic statement requirement)Se deben establecer, documentar, mantener y aplicar principios de ingeniería de sistemas seguros a cualquier implementación de un sistema de información. | Control statementAdmission decisions |
| Attached table 3, control 14.2.9 (translated from the Japanese text of the 2024-08-01 edition) | Acceptance testing programmes and criteria for new versions (basic statement requirement)Se deben establecer programas de pruebas de aceptación y criterios asociados para los nuevos sistemas de información y para sus actualizaciones y nuevas versiones. | Control statementAdmission decisionsCoverageOutcomesSupply chain |
| Attached table 3, control 15.1.3 (translated from the Japanese text of the 2024-08-01 edition) | Supplier agreements address ICT supply chain risk (basic statement requirement)Los acuerdos con proveedores deben incluir requisitos para abordar los riesgos de seguridad de la información asociados a la cadena de suministro de servicios y productos de tecnologías de la información y la comunicación (TIC). | Supply chainControl statementProducer statements (VEX) |
| Attached table 3, control 18.2.3 (translated from the Japanese text of the 2024-08-01 edition) | Information systems are reviewed for compliance with policies and standards (basic statement requirement)Los sistemas de información se deben revisar periódicamente para comprobar que cumplen las políticas y normas de seguridad de la información de la organización. | Control statementAdmission decisionsCoverageEvidence chain |
| Attached table 3, control 18.2.3.4 | Penetration tests or vulnerability assessments, planned and repeatedLa organización garantiza que las pruebas de penetración o evaluaciones de vulnerabilidades se planifican, documentan y repiten, y se realizan cuando se identifican y notifican nuevas vulnerabilidades. | CoverageClusterControl statement |
18 requisitos fuera de alcance, y por qué
| Referencia | Requisito y motivo |
|---|---|
| Attached table 3, control 8.1.1.6.PB (translated from the Japanese text of the 2024-08-01 edition) | The provider's asset inventory identifies customer data and derived data (basic statement requirement) Los activos que este control pide destacar en el inventario son los datos del cliente y los que el servicio deriva de ellos; el inventario de este cluster contiene las images que se ejecutaron y de qué están hechas, es decir, el software y no lo que trató, y responder a un control de identificación de datos con un inventario de software sería justo la exageración que este paquete existe para rechazar. |
| Attached table 3, control 8.1.2 (translated from the Japanese text of the 2024-08-01 edition) | Assets in the inventory are owned (basic statement requirement) La propiedad es una persona o un equipo con nombre que responde de un activo, y consta en el registro de activos del propio proveedor; un cluster registra qué images se ejecutaron y qué contienen, y nada en esos registros dice quién responde de una. |
| Attached table 3, control 9.1.1 (translated from the Japanese text of the 2024-08-01 edition) | An access control policy is established, documented and reviewed (basic statement requirement) La política que pide este control regula quién puede llegar a la información y a las instalaciones de tratamiento del proveedor, y se redacta y revisa en el propio gobierno del proveedor; la policy que aplica este cluster decide qué images pueden ejecutarse: otro asunto, que en inglés recibe la misma palabra. |
| Attached table 3, control 12.1.2.11.PB | Customers are told about changes that could harm their security (basic statement requirement) Este control es una comunicación del proveedor a sus propios clientes sobre su propio servicio; un cluster registra los cambios que admitió y bajo qué policy, y nada en esos registros dice si se informó a alguien. |
| Attached table 3, control 12.4.1.15.PB (translated from the Japanese text of the 2024-08-01 edition) | A logging function is provided to cloud service customers (basic statement requirement) Este control pide al proveedor que dé a sus clientes una forma de obtener registros de su uso del servicio; el registro que lleva este control es del cluster del proveedor y lo lee el proveedor, que es la dirección contraria a la que apunta el control. |
| Attached table 3, control 12.6.1.3 | Roles and responsibilities for technical vulnerability management Quién responde de vigilar, evaluar y corregir una vulnerabilidad es una asignación que hace el proveedor y que registra en su propio gobierno; un cluster muestra el trabajo hecho, nunca quién debía hacerlo. |
| Attached table 3, control 14.2.1 (translated from the Japanese text of the 2024-08-01 edition) | Secure development rules are established and applied (basic statement requirement) Estas reglas se establecen dentro de la organización de desarrollo y se aplican mientras se escribe el software; a este cluster le llega el resultado como image construida, y puede decir qué contiene y quién la firmó, no con qué regla trabajaban quienes la hicieron. |
| Attached table 3, control 14.2.1.13.PB (translated from the Japanese text of the 2024-08-01 edition) | Information about secure development practices is provided (basic statement requirement) Lo que el proveedor publica sobre cómo desarrolla software, y lo que su política de divulgación se reserva, se decide fuera de este cluster y no consta en ninguna parte de él. |
| Attached table 3, control 14.2.2 (translated from the Japanese text of the 2024-08-01 edition) | Changes within the development lifecycle use formal change control (basic statement requirement) Los cambios que regula este control se hacen dentro del ciclo de desarrollo, antes de construir nada; el registro de cambios de este cluster trata de images que llegan a un sistema en marcha y se informa en 12.1.2, donde estos criterios lo piden. |
| Attached table 3, control 14.2.8 (translated from the Japanese text of the 2024-08-01 edition) | Security functionality is tested during development (basic statement requirement) Este control prueba las funciones de seguridad con las que se construye un sistema, mientras se construye; escanear una image terminada mide qué vulnerabilidades conocidas llevan sus componentes: una medida distinta de un objeto distinto, que no la sustituye. |
| Attached table 3, control 15.1.1 (translated from the Japanese text of the 2024-08-01 edition) | Security requirements for supplier access are agreed and documented (basic statement requirement) Este control es un acuerdo alcanzado con un proveedor y puesto por escrito; un cluster ve el software que envió un proveedor, no las condiciones en que lo envió. |
| Attached table 3, control 15.1.1.16.B | Foreign law risk assessed, and jurisdiction specified in the contract (basic statement requirement) Este control trata de qué ley podría alcanzar los datos del cliente y qué contrato lo dice; se responde con el análisis jurídico que hace el proveedor de sus contratistas y contratos, y una decisión de admission no observa ninguna de las dos cosas. |
| Attached table 3, control 18.2.1 (translated from the Japanese text of the 2024-08-01 edition) | The approach to managing information security is independently reviewed (basic statement requirement) Este documento es evidencia que lee una revisión de ese tipo, no la revisión; la independencia que pide el control depende de quién la hace, y un control no puede revisarse a sí mismo. En ISMAP la revisión la realiza un evaluador de la lista de evaluadores registrados, sobre el periodo de evaluación que declara el proveedor. |
| Attached table 1, governance criteria (Chapter 3.1.1) | Governance criteria — the governing body's own processes Toda la tabla anexa 1 es lo que hace un órgano de gobierno: evaluar si los objetivos de seguridad están alineados con el negocio, dirigir a los responsables, seguir lo que informan, comunicarse con las partes interesadas y encargar aseguramiento. Nada de eso es una propiedad de un cluster, y un proveedor lo acredita con los registros de su propio consejo. |
| Attached table 2, management criteria (Chapter 4.1) | Management criteria — the information security management system itself La tabla anexa 2 es el sistema de gestión: alcance, política, evaluación y tratamiento de riesgos, competencia, información documentada, evaluación interna, revisión por la dirección, acciones correctivas y la comunicación de riesgos con los clientes de la nube que añade el capítulo 4.9. Se evalúa con los propios registros del proveedor sobre su funcionamiento, y un cluster es una de las cosas que dirige, no una parte de él. |
| Attached table 3, controls 7.1 to 7.3 (human resource security); the text quoted is control 7.1.1, translated from the Japanese text of the 2024-08-01 edition | Human resource security (basic statement requirement) La verificación previa a la contratación, las cláusulas del contrato, la formación de concienciación, el proceso disciplinario y las responsabilidades que sobreviven a una salida son todas afirmaciones sobre personas; una decisión de admission tomada sobre una image no observa ninguna. |
| Attached table 3, controls 11.1 and 11.2 (physical and environmental security); the text quoted is control 11.1.1, translated from the Japanese text of the 2024-08-01 edition | Physical and environmental security (basic statement requirement) Perímetros, controles de acceso, cableado, ubicación de equipos y eliminación segura son propiedades de los centros de datos que el proveedor opera o contrata; un webhook dentro de un cluster no ve nada del edificio en el que funciona. |
| Attached table 3, controls 13.1.1 to 13.1.4.P (network security management); the text quoted is control 13.1.1, translated from the Japanese text of the 2024-08-01 edition | Network security management (basic statement requirement) La segregación de redes, los acuerdos de servicios de red y la coherencia entre una red virtual y la física que hay debajo se configuran en la red y en la plataforma por debajo de los nodes; este control decide qué images pueden ejecutarse y nunca ve un paquete. |
Evidencia a partir de registros que el cluster ya guarda.
Nada se rellena a mano. La respuesta de cada requisito lleva un estado (cumplido, parcial, carencia o fuera de alcance), una nota con las cifras del propio periodo y las secciones del informe de donde salen esas cifras.
En qué se apoya el mapeo
Cada requisito evaluado se responde con una o varias de estas afirmaciones sobre los registros del periodo. La misma afirmación responde a la misma pregunta en todos los frameworks, así que dos informes de un mismo periodo no pueden discrepar.
- Se registra cada decisión y cada acción administrativa9 requisitos
- Cada image del inventario tiene un registro de escaneo9 requisitos
- La admission rechaza los workloads que no cumplen8 requisitos
- Solo pueden ejecutarse images de procedencia establecida5 requisitos
- Se guarda un SBOM de las images en servicio4 requisitos
- Cada cambio de image se registra junto a la policy que lo regía3 requisitos
- Los workloads nombran las images por digest, no por un tag movible3 requisitos
- Los hallazgos se cotejan con un catálogo nacional de vulnerabilidades explotadas3 requisitos
- Las images solo pueden entrar desde registries autorizados3 requisitos
- Se rechazan las images con hallazgos graves3 requisitos
- Los privilegios de los workloads se limitan en la admission3 requisitos
- Hay un plazo de corrección declarado para cada severidad2 requisitos
- El acceso administrativo está federado con un directorio1 requisito
- Los riesgos aceptados tienen nombre, justificación y caducidad1 requisito
- Un rechazo o un hallazgo crítico llega a una persona1 requisito
- La declaración de un fabricante de confianza sobre su propio producto se lee y se aplica1 requisito
Qué contiene el informe.
Todos los paquetes llevan las mismas secciones, sea cual sea el framework. Las marcadas son las que citan las respuestas para ISMAP, con el número de requisitos que cita cada una.
- Organisation
- Framework mapping
- Cluster3
- Control statement14
- Coverage10
- Vulnerability findings
- Outcomes3
- Admission decisions13
- Supply chain7
- Triage decisions1
- Break-glass events1
- Availability
- Evidence chain9
- Deployment context
- Issues2
- Ledger
- Population
- Runtime events
- Producer statements (VEX)1
El párrafo de alcance, tal como lo formula el informe.
This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto the Control Criteria of ISMAP — the criteria a cloud service is registered against for the Japanese government's Information system Security Management and Assessment Program. The criteria are addressed to a cloud service provider and cover its whole undertaking, and an ISMAP assessment reads the provider's own statement of which controls it implements over an assessment period of at most one year. Nothing here is that statement, nothing here is an assessment of one, and nothing here registers anything: this cluster is one control inside the provider's estate, and this document is evidence such a statement could cite. What the period's records support is a part of the controls criteria of Attached table 3, and only for the software inside container images: the asset inventory of 8.1, the change management of 12.1.2, the event and administrator logs of 12.4, the control of software installed on operational systems in 12.5.1 and 12.6.2, the technical vulnerability management of 12.6.1 and its cloud detailed control, the acceptance criteria of 14.2.9, the secure engineering principles of 14.2.5, the ICT supply chain requirements of 15.1.3, and the technical compliance review of 18.2.3. The governance criteria of Attached table 1 and the management criteria of Attached table 2 are outside it entirely, as are human resource security, physical and environmental security, network security management and the access control criteria — except for the privileged access this control's own console governs, which answers part of 9.2.3. Controls whose number ends in B or PB are implemented in principle rather than selected, and every clause below says whether the control it maps is one of those. Obligations quoted from a control whose English entry only points at ISO/IEC 27002:2013 are translated from the in-force Japanese edition of 1 August 2024, and their citations say so.
Sobre ISMAP
¿Es esto una certificación según ISMAP?
No. El paquete es evidencia generada a partir de los propios registros de su cluster. No es una certificación, y ningún auditor está obligado a aceptarlo. El párrafo de alcance de esta página es el mismo que lleva el informe.
¿Por qué 18 de los requisitos están fuera de alcance?
Preguntan por cosas que los registros de admission y escaneo de un cluster no pueden mostrar. Se incluyen con el motivo en lugar de omitirse, para que quien lea el informe vea que la exclusión es deliberada.
¿Qué plan incluye ISMAP?
Todos los planes pueden generar informes para este framework. Community y Team incluyen 1 framework a elegir; Business, 3; Enterprise, todos. Los precios están en la página de precios.
¿Cómo comprueba un auditor el paquete?
En un navegador, en attestkeep.com/verify.html, donde no se sube nada, o con el breve script del sitio de documentación. Ninguno de los dos nos necesita. La página Para auditores tiene los detalles.
Instálelo usted mismo.
Cree una cuenta, confirme su correo con el código que le enviamos, obtenga la clave Community gratuita en la página Licences e instale con Helm.
Crear una cuenta