Regional · Corea del Sur

ISMS-P Certification Criteria (noviembre de 2023)

Attestkeep vincula lo que el admission control y el escaneo de images de su cluster registraron en un periodo con 32 requisitos (fuente: 정보보호 및 개인정보보호 관리체계 인증기준, anexo 7 de la notificación conjunta de la Personal Information Protection Commission y el Ministry of Science and ICT, tal como lo explica el 인증기준 안내서 de KISA de noviembre de 2023). De ellos, 21 se evalúan con esos registros; 11 se marcan fuera de alcance, cada uno con el motivo.

Crear una cuenta Cómo se construye un paquete

Qué pide el framework

21 requisitos a los que responde un cluster.

Referencias y títulos tal como los imprime el informe, es decir, en inglés. Abra un requisito para leer lo que pide, expresado de forma próxima al texto del propio instrumento.

ISMS-P Certification Criteria

정보보호 및 개인정보보호 관리체계 인증기준, anexo 7 de la notificación conjunta de la Personal Information Protection Commission y el Ministry of Science and ICT, tal como lo explica el 인증기준 안내서 de KISA de noviembre de 2023

Dominio 1 (establecimiento y operación del sistema de gestión): gestión de riesgos y operación del sistema de gestión. Dominio 2 (requisitos de las medidas de protección): política, organización y gestión de activos; seguridad de terceros; gestión de la autenticación y las autorizaciones; introducción de sistemas de información y seguridad del desarrollo; gestión de la operación de sistemas y servicios; gestión de la seguridad de sistemas y servicios; prevención y respuesta ante incidentes. La seguridad del personal, la seguridad física, el control de acceso, la aplicación del cifrado, la recuperación ante desastres y todo el dominio 3 (requisitos en cada etapa del tratamiento de información personal) se nombran y quedan fuera

Referencia	Requisito	Secciones del informe
Criterion 1.2.1 정보자산 식별 (Identification of information assets), 인증기준 sentence translated from the Korean guide, 2023.11	All information assets in scope are identified, classified and kept current Se establece una norma de clasificación de los activos de información según las características del negocio de la organización; todos los activos dentro del alcance del sistema de gestión se identifican y clasifican, se evalúa su criticidad y el inventario resultante se mantiene al día.	CoverageSupply chain
Criterion 1.3.3 운영현황 관리 (Management of operating status), 인증기준 sentence translated from the Korean guide, 2023.11	Operating activities are recorded so they can be identified and traced Las actividades operativas que deben realizarse de forma continua o periódica en el sistema de gestión establecido, y el registro de su realización, se registran y gestionan de modo que puedan identificarse y rastrearse; la dirección confirma y gestiona periódicamente la eficacia de esas actividades.	Evidence chain
Criterion 2.1.3 정보자산 관리 (Management of information assets), 인증기준 sentence translated from the Korean guide, 2023.11	Handling procedures by criticality, and responsibility defined per asset Se establecen y aplican procedimientos de manejo y medidas de protección adecuados a la finalidad y la criticidad de un activo de información, y se define y gestiona con claridad la responsabilidad de cada activo.	CoverageSupply chainControl statement
Criterion 2.3.3 외부자 보안 이행 관리 (Management of an outsider's security performance), 인증기준 sentence translated from the Korean guide, 2023.11	An outsider's protective measures are supervised by periodic inspection or audit El cumplimiento, por parte de un tercero, de las medidas de protección que exigen los requisitos de seguridad de la información y protección de datos personales del contrato, el acuerdo o la política interna se gestiona y supervisa mediante inspecciones, auditorías o controles similares periódicos.	Supply chainControl statementProducer statements (VEX)
Criterion 2.5.3 사용자 인증 (User authentication), 인증기준 sentence translated from the Korean guide, 2023.11	Access applies a secure authentication procedure, strengthened where needed El acceso de los usuarios a los sistemas de información y a la información personal e importante aplica un procedimiento de autenticación seguro y, cuando sea necesario, un método de autenticación reforzado. También se establecen y aplican medidas para controlar el acceso de personas no autorizadas, como límites al número de intentos de inicio de sesión y avisos ante intentos ilegítimos.	Evidence chain
Criterion 2.5.5 특수 계정 및 권한 관리 (Management of special accounts and privileges), 인증기준 sentence translated from the Korean guide, 2023.11	Special-purpose accounts and privileges are minimal, separately identified Las cuentas y privilegios de uso especial, como la administración de sistemas de información o la gestión de información personal e importante, se conceden en la medida mínima, se identifican por separado y se controlan.	Evidence chain
Criterion 2.5.6 접근권한 검토 (Review of access rights), 인증기준 sentence translated from the Korean guide, 2023.11	Account and privilege changes are recorded and reviewed periodically Se lleva registro del alta, uso y baja de las cuentas de usuario con acceso a sistemas de información y a información personal e importante, y de la concesión, modificación y retirada de derechos de acceso, y se revisa periódicamente para comprobar que siguen siendo adecuados.	Evidence chain
Criterion 2.8.2 보안 요구사항 검토 및 시험 (Review and testing of security requirements), 인증기준 sentence translated from the Korean guide, 2023.11	Security requirements reviewed and tested, and the problems found corrected Para revisar si un sistema de información se ha introducido o implementado conforme a los requisitos de seguridad definidos de antemano, se establecen y aplican criterios y procedimientos de revisión, como el cumplimiento de requisitos legales, la inspección de las vulnerabilidades más recientes, la aplicación de codificación segura y una evaluación de impacto en la privacidad; sobre los problemas encontrados se toman medidas correctivas.	CoverageAdmission decisionsOutcomesControl statement
Criterion 2.8.5 소스 프로그램 관리 (Management of source programs), 인증기준 sentence translated from the Korean guide, 2023.11	Source programs are reachable only by authorized users and kept out of production Los programas fuente se gestionan para que solo accedan usuarios autorizados y, por norma, no se guardan en el entorno de operación.	Supply chainControl statement
Criterion 2.8.6 운영환경 이관 (Transfer to the operational environment), 인증기준 sentence translated from the Korean guide, 2023.11	The move into production follows a controlled procedure, and code runs only once accepted Cuando un sistema recién introducido, desarrollado o modificado pasa al entorno de operación se sigue un procedimiento controlado, y el código ejecutable solo se ejecuta tras los procedimientos de prueba y aceptación del usuario.	Control statementAdmission decisionsSupply chain
Criterion 2.9.1 변경관리 (Change management), 인증기준 sentence translated from the Korean guide, 2023.11	Every change to a system asset is managed, and its effect analysed beforehand Se establece y aplica un procedimiento para poder gestionar cada cambio en un activo relacionado con los sistemas de información, y antes del cambio se analiza su efecto en el rendimiento y la seguridad del sistema.	Admission decisionsEvidence chain
Criterion 2.9.4 로그 및 접속기록 관리 (Management of logs and access records), 인증기준 sentence translated from the Korean guide, 2023.11	Log types, retention period and method are decided, and logs kept safe from tampering Para sistemas de información como servidores, aplicaciones, sistemas de seguridad y sistemas de red se deciden los tipos de registro (accesos de usuarios, registros del sistema, concesión de privilegios y similares), su periodo y su forma de conservación, y se conservan y gestionan de forma segura para que no se falsifiquen, alteren, roben ni pierdan.	Evidence chain
Criterion 2.9.5 로그 및 접속기록 점검 (Inspection of logs and access records), 인증기준 sentence translated from the Korean guide, 2023.11	Logs are reviewed against criteria on a cycle, and problems acted on in time Para asegurar el uso normal de un sistema de información y evitar abusos de los usuarios (conexiones no autorizadas, consultas excesivas y similares), se establecen criterios para revisar los registros de acceso y uso y se inspeccionan periódicamente; si surge un problema, se actúa a tiempo.	Evidence chainAdmission decisionsBreak-glass events
Criterion 2.10.1 보안시스템 운영 (Operation of security systems), 인증기준 sentence translated from the Korean guide, 2023.11	Operating procedures per security system, and the state of policy application managed Para cada tipo de sistema de seguridad se establecen y aplican procedimientos de operación, como la designación de un administrador, la actualización de la política a la última versión, los cambios en el conjunto de reglas y la supervisión de eventos, y se gestiona el estado de aplicación de la política en cada sistema de seguridad.	Control statementAdmission decisionsTriage decisionsEvidence chain
Criterion 2.10.2 클라우드 보안 (Cloud security), 인증기준 sentence translated from the Korean guide, 2023.11	Administrator access and security settings protected against misconfiguration and unauthorized access Al usar un servicio en la nube se establecen y aplican medidas de protección del acceso administrativo y de los ajustes de seguridad para que la información importante y personal no se filtre ni quede expuesta por accesos no autorizados o configuraciones erróneas derivadas del tipo de servicio (SaaS, PaaS, IaaS y similares).	Control statementAdmission decisionsEvidence chain
Criterion 2.10.3 공개서버 보안 (Security of public servers), 인증기준 sentence translated from the Korean guide, 2023.11	A server exposed to an external network is separated and given strengthened measures Un servidor expuesto a una red externa se separa de la red interna, y se establecen y aplican medidas de protección reforzadas: inspección de vulnerabilidades, control de acceso, autenticación y procedimientos para recopilar, almacenar y publicar información.	CoverageControl statementAdmission decisions
Criterion 2.10.8 패치관리 (Patch management), 인증기준 sentence translated from the Korean guide, 2023.11	The latest patches are applied, with compensating measures where they cannot be Se aplican los parches más recientes para evitar intrusiones por vulnerabilidades del software, el sistema operativo, los sistemas de seguridad y similares. Cuando, tras revisar el efecto en el servicio, aplicar el último parche resulte difícil, se preparan y aplican medidas compensatorias aparte.	CoverageControl statementClusterTriage decisionsIssues
Criterion 2.11.1 사고 예방 및 대응체계 구축 (Establishing an incident prevention and response framework), 인증기준 sentence translated from the Korean guide, 2023.11	A framework for detecting, responding to, analysing and sharing intrusion attempts Se establecen un marco y procedimientos para detectar, responder, analizar y compartir los intentos de intrusión internos y externos, de modo que se eviten intrusiones y filtraciones de información personal y se responda con rapidez y eficacia cuando ocurran, y se crea un acuerdo de cooperación con los organismos y expertos externos pertinentes.	Admission decisionsBreak-glass events
Criterion 2.11.2 취약점 점검 및 조치 (Vulnerability inspection and action), 인증기준 sentence translated from the Korean guide, 2023.11	Vulnerabilities inspected periodically and acted on, and new ones tracked Se realiza periódicamente una inspección de vulnerabilidades para confirmar si las de un sistema de información están expuestas, y la vulnerabilidad encontrada se trata sin demora. También se comprueba de forma continua si han aparecido nuevas vulnerabilidades de seguridad, y su efecto en el sistema se analiza y se trata.	CoverageAdmission decisionsOutcomesClusterControl statementIssues
Criterion 2.11.3 이상행위 분석 및 모니터링 (Analysis and monitoring of anomalous behaviour), 인증기준 sentence translated from the Korean guide, 2023.11	Flows are collected and analysed so intrusion attempts are detected quickly Se recopilan y analizan los flujos de red y de datos y similares para detectar y responder con rapidez a intentos de intrusión desde dentro o desde fuera, intentos de filtrar información personal y actos fraudulentos, y se actúa a tiempo sobre los resultados de la supervisión y la inspección.	CoverageRuntime events
Criterion 2.11.5 사고 대응 및 복구 (Incident response and recovery), 인증기준 sentence translated from the Korean guide, 2023.11	Incidents are notified as the law requires, responded to, and their recurrence prevented Cuando se detecta una señal o la ocurrencia de una intrusión o de una filtración de información personal, se cumplen las obligaciones legales de notificación e información; la respuesta y la recuperación siguen el procedimiento sin demora, y tras analizar el incidente se establecen medidas para evitar que se repita y se incorporan al marco de respuesta.	Admission decisionsEvidence chainBreak-glass events

11 requisitos fuera de alcance, y por qué

Referencia	Requisito y motivo
Section 1.1 Setting up foundation for management system; the text quoted is criterion 1.1.1 경영진의 참여, 인증기준 sentence translated from the Korean guide, 2023.11	Setting up foundation for management system La participación de la dirección, el nombramiento de un responsable, la composición de la organización, el alcance de la certificación, la política y la asignación de recursos son decisiones que la organización toma y deja en acta; ninguna es una propiedad de un cluster.
Criterion 1.4.2 관리체계 점검 (Inspection of the management system), 인증기준 sentence translated from the Korean guide, 2023.11	The management system is inspected at least once a year by independent, expert staff Este documento es evidencia que lee una inspección de ese tipo, no la inspección; la independencia que pide el criterio depende de quién la realiza, y un control no puede inspeccionarse a sí mismo.
Section 2.2 Personal security; the text quoted is criterion 2.2.1 주요 직무자 지정 및 관리, 인증기준 sentence translated from the Korean guide, 2023.11	Personal security Designar a los titulares de funciones clave, separar funciones, los compromisos de seguridad, la formación de concienciación, la gestión de bajas y traslados y las medidas tras una brecha de seguridad son afirmaciones sobre personas; una decisión de admission tomada sobre una image no observa ninguna.
Criterion 2.3.1 외부자 현황 관리 (Management of the outsider position), 인증기준 sentence translated from the Korean guide, 2023.11	Outsourcing and external services are identified and their risks understood Lo que este criterio pide identificar es un registro de a quién ha contratado la organización y qué ha comprado; un cluster ve el software que enviaron esas partes, del que se informa en 2.3.3, no las relaciones comerciales que hay detrás.
Section 2.4 Physical security; the text quoted is criterion 2.4.1 보호구역 지정, 인증기준 sentence translated from the Korean guide, 2023.11	Physical security Zonas protegidas, control de entrada, instalaciones de protección, trabajo en zonas protegidas, control de equipos que entran y salen y normas de mesa limpia son propiedades de edificios; un webhook dentro de un cluster no ve nada del edificio en el que funciona.
Section 2.6 Access control; the text quoted is criterion 2.6.2 정보시스템 접근, 인증기준 sentence translated from the Korean guide, 2023.11	Access control El acceso a la red, a los sistemas operativos, a las aplicaciones y bases de datos, las redes inalámbricas, el acceso remoto y el control del acceso a Internet se configuran en la red, en los hosts y en las propias aplicaciones; lo que regula este control es qué images pueden ejecutarse, y el acceso administrativo al propio control se informa en 2.5.3 y 2.5.5.
Section 2.7 Application of encryption; the text quoted is criterion 2.7.1 암호정책 적용, 인증기준 sentence translated from the Korean guide, 2023.11	Application of encryption Qué debe cifrarse y con qué fuerza lo fijan la Personal Information Protection Act y la política de la organización, y se aplica en los sistemas que guardan y mueven los datos; las firmas que verifica este control prueban quién avaló una image y no son el cifrado que pide este criterio.
Criterion 2.8.1 보안 요구사항 정의 (Definition of security requirements), 인증기준 sentence translated from the Korean guide, 2023.11	Security requirements are defined and applied when a system is introduced or changed Los requisitos que pide este criterio se escriben en las fases de análisis y diseño y se reflejan en lo que se construye; a este cluster le llega el resultado como image construida, y si los requisitos se definieron antes de empezar se acredita donde se hizo el trabajo. Lo que hace la admission con el artefacto terminado se informa en 2.8.2 y 2.8.6.
Criterion 2.10.9 악성코드 통제 (Control of malicious code), 인증기준 sentence translated from the Korean guide, 2023.11	Malicious code is prevented, detected and responded to El escaneo que hace este producto es de vulnerabilidades, no de malware: compara los componentes de una image con una base de datos de vulnerabilidades conocidas, lo que encuentra debilidades en software que alguien quería instalar, y no busca virus, gusanos, troyanos ni ransomware. Las preguntas de control piden un antivirus con las firmas al día y un procedimiento para contener una infección, y este control no es ninguna de las dos cosas.
Section 2.12 Disaster recovery; the text quoted is criterion 2.12.1 재해·재난 대비 안전조치, 인증기준 sentence translated from the Korean guide, 2023.11	Disaster recovery Identificar tipos de desastre, fijar objetivos de recuperación y ensayar una recuperación es trabajo de planificación y ejercicio en toda la organización; un admission control decide qué puede ejecutarse y no guarda copia de nada que restaurar.
Domain 3 Requirements in each step of personal information processing; the text quoted is criterion 3.1.1 개인정보 수집·이용, 인증기준 sentence translated from the Korean guide, 2023.11	Requirements in each step of personal information processing Todo el dominio 3 sigue a la propia información personal a lo largo de su ciclo de vida (recogida, conservación y uso, cesión a terceros, destrucción y derechos del interesado), y se responde con los registros de consentimiento, el aviso de privacidad y los sistemas de tratamiento de la organización. Este control nunca ve información personal: decide qué images de container pueden ejecutarse y no sabe nada de lo que tratan.

Qué produce Attestkeep

Evidencia a partir de registros que el cluster ya guarda.

Nada se rellena a mano. La respuesta de cada requisito lleva un estado (cumplido, parcial, carencia o fuera de alcance), una nota con las cifras del propio periodo y las secciones del informe de donde salen esas cifras.

En qué se apoya el mapeo

Cada requisito evaluado se responde con una o varias de estas afirmaciones sobre los registros del periodo. La misma afirmación responde a la misma pregunta en todos los frameworks, así que dos informes de un mismo periodo no pueden discrepar.

Se registra cada decisión y cada acción administrativa9 requisitos
Cada image del inventario tiene un registro de escaneo6 requisitos
La admission rechaza los workloads que no cumplen4 requisitos
El acceso administrativo está federado con un directorio3 requisitos
Un rechazo o un hallazgo crítico llega a una persona3 requisitos
Solo pueden ejecutarse images de procedencia establecida3 requisitos
Se guarda un SBOM de las images en servicio3 requisitos
Cada cambio de image se registra junto a la policy que lo regía2 requisitos
Los workloads nombran las images por digest, no por un tag movible2 requisitos
Los riesgos aceptados tienen nombre, justificación y caducidad2 requisitos
Los hallazgos se cotejan con un catálogo nacional de vulnerabilidades explotadas2 requisitos
Hay un plazo de corrección declarado para cada severidad2 requisitos
Se rechazan las images con hallazgos graves2 requisitos
Los privilegios de los workloads se limitan en la admission2 requisitos
Se rechazan las images cuyo sistema operativo base ya no tiene soporte1 requisito
La declaración de un fabricante de confianza sobre su propio producto se lee y se aplica1 requisito
Las images solo pueden entrar desde registries autorizados1 requisito
Los hallazgos de un detector de runtime se registran junto a las images que los produjeron1 requisito

El paquete

Qué contiene el informe.

Todos los paquetes llevan las mismas secciones, sea cual sea el framework. Las marcadas son las que citan las respuestas para ISMS-P, con el número de requisitos que cita cada una.

Más sobre el paquete

Organisation
Framework mapping
Cluster2
Control statement10
Coverage7
Vulnerability findings
Outcomes2
Admission decisions10
Supply chain5
Triage decisions2
Break-glass events3
Availability
Evidence chain10
Deployment context
Issues2
Ledger
Population
Runtime events1
Producer statements (VEX)1

Alcance

El párrafo de alcance, tal como lo formula el informe.

This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto the ISMS-P Certification Criteria — the 101 criteria a Korean organisation is certified against for information security and personal information protection. The criteria are addressed to the applicant organisation and cover its whole management system, its people, its buildings, its networks and the entire lifecycle of the personal information it processes. Nothing here is a certification audit and nothing here establishes conformity: an auditor from a certification body works through the criteria against the organisation, and this cluster is one system inside its scope. What the period's records support is a part of two of the three domains, and only for the software inside container images: the asset identification of 1.2.1 and 2.1.3, the operating record of 1.3.3, the supplier assurance of 2.3.3, the authentication and privileged accounts of 2.5.3, 2.5.5 and 2.5.6, the development and hand-over criteria of 2.8.2, 2.8.5 and 2.8.6, the change and log criteria of 2.9.1, 2.9.4 and 2.9.5, the security system, cloud and public server criteria of 2.10.1 to 2.10.3, patch management in 2.10.8, and incident prevention, vulnerability inspection, anomaly monitoring and incident response in 2.11.1 to 2.11.5. Domain 3, the requirements at each step of personal information processing, is outside it entirely, as are personal security, physical security, access control, application of encryption and disaster recovery. No criterion is reported as fully met: an ISMS-P criterion states a technical measure and a procedure, a designation or a periodic review together, and a cluster's records answer the first half only. Every criterion sentence quoted below is our translation of the Korean 인증기준 sentence as printed in KISA's guide of November 2023; there is no official English text of the criteria, and each citation says which criterion the translation came from.

Preguntas

Sobre ISMS-P

¿Es esto una certificación según ISMS-P?

No. El paquete es evidencia generada a partir de los propios registros de su cluster. No es una certificación, y ningún auditor está obligado a aceptarlo. El párrafo de alcance de esta página es el mismo que lleva el informe.

¿Por qué 11 de los requisitos están fuera de alcance?

Preguntan por cosas que los registros de admission y escaneo de un cluster no pueden mostrar. Se incluyen con el motivo en lugar de omitirse, para que quien lea el informe vea que la exclusión es deliberada.

¿Qué plan incluye ISMS-P?

Todos los planes pueden generar informes para este framework. Community y Team incluyen 1 framework a elegir; Business, 3; Enterprise, todos. Los precios están en la página de precios.

¿Cómo comprueba un auditor el paquete?

En un navegador, en attestkeep.com/verify.html, donde no se sube nada, o con el breve script del sitio de documentación. Ninguno de los dos nos necesita. La página Para auditores tiene los detalles.

Instálelo usted mismo.

Cree una cuenta, confirme su correo con el código que le enviamos, obtenga la clave Community gratuita en la página Licences e instale con Helm.

Crear una cuenta