ISO/IEC 27001:2022 (anexo A)
Attestkeep vincula lo que el admission control y el escaneo de images de su cluster registraron en un periodo con 12 requisitos (fuente: ISO/IEC 27001:2022). De ellos, 10 se evalúan con esos registros; 2 se marcan fuera de alcance, cada uno con el motivo.
10 requisitos a los que responde un cluster.
Referencias y títulos tal como los imprime el informe, es decir, en inglés. Abra un requisito para leer lo que pide, expresado de forma próxima al texto del propio instrumento.
Information security management systems — Requirements
ISO/IEC 27001:2022
Controles del anexo A 5.15, 5.23, 5.25, 5.30, 8.8, 8.9, 8.15, 8.19, 8.28 y 8.32
| Referencia | Requisito | Secciones del informe |
|---|---|---|
| Annex A 5.15 | Access controlSe deben establecer e implementar reglas para controlar el acceso físico y lógico a la información y a otros activos asociados, según los requisitos de negocio y de seguridad de la información. | Evidence chain |
| Annex A 5.23 | Information security for use of cloud servicesSe deben establecer procesos de adquisición, uso, gestión y salida de servicios en la nube conforme a los requisitos de seguridad de la información de la organización. | Control statementSupply chain |
| Annex A 5.25 | Assessment and decision on information security eventsLa organización debe evaluar los eventos de seguridad de la información y decidir si se clasifican como incidentes de seguridad de la información. | Admission decisionsEvidence chainBreak-glass events |
| Annex A 8.8 | Management of technical vulnerabilitiesSe debe obtener información sobre las vulnerabilidades técnicas de los sistemas de información en uso, evaluar la exposición de la organización a ellas y tomar las medidas adecuadas. | CoverageAdmission decisionsOutcomesControl statementDeployment contextIssues |
| Annex A 8.9 | Configuration managementLas configuraciones, incluidas las de seguridad, de hardware, software, servicios y redes se deben establecer, documentar, implementar, supervisar y revisar. | Control statementAdmission decisions |
| Annex A 8.15 | LoggingSe deben generar, almacenar, proteger y analizar registros que recojan actividades, excepciones, fallos y otros eventos pertinentes. | Evidence chain |
| Annex A 8.19 | Installation of software on operational systemsSe deben implementar procedimientos y medidas para gestionar de forma segura la instalación de software en los sistemas en producción. | Control statementAdmission decisionsSupply chain |
| Annex A 8.28 | Secure codingSe deben aplicar principios de codificación segura al desarrollo de software, incluidas la adquisición y el uso seguros de componentes de terceros. | Supply chainCoverage |
| Annex A 8.32 | Change managementLos cambios en las instalaciones de tratamiento de la información y en los sistemas de información deben estar sujetos a procedimientos de gestión de cambios. | Triage decisionsEvidence chain |
| Annex A 5.30 | ICT readiness for business continuityLa preparación de las TIC se debe planificar, implementar, mantener y probar según los objetivos de continuidad de negocio y los requisitos de continuidad de las TIC. | Availability |
2 requisitos fuera de alcance, y por qué
| Referencia | Requisito y motivo |
|---|---|
| Clauses 4 to 10 | The management system itself La certificación se evalúa frente al sistema de gestión de la organización; un instrumento de control produce evidencia para él y no puede sustituirlo. |
| Annex A 6 and 7 | People and physical controls Nada de estos grupos de controles se puede observar desde un cluster; se enumeran para que quede claro que su ausencia en este documento es deliberada. |
Evidencia a partir de registros que el cluster ya guarda.
Nada se rellena a mano. La respuesta de cada requisito lleva un estado (cumplido, parcial, carencia o fuera de alcance), una nota con las cifras del propio periodo y las secciones del informe de donde salen esas cifras.
En qué se apoya el mapeo
Cada requisito evaluado se responde con una o varias de estas afirmaciones sobre los registros del periodo. La misma afirmación responde a la misma pregunta en todos los frameworks, así que dos informes de un mismo periodo no pueden discrepar.
- Se registra cada decisión y cada acción administrativa4 requisitos
- Solo pueden ejecutarse images de procedencia establecida2 requisitos
- Las images solo pueden entrar desde registries autorizados2 requisitos
- Cada image del inventario tiene un registro de escaneo2 requisitos
- El acceso administrativo está federado con un directorio1 requisito
- La admission rechaza los workloads que no cumplen1 requisito
- Los umbrales de vulnerabilidad son más estrictos donde el workload está expuesto o tiene privilegios1 requisito
- El propio control estuvo operativo durante todo el periodo1 requisito
- Los workloads nombran las images por digest, no por un tag movible1 requisito
- Los riesgos aceptados tienen nombre, justificación y caducidad1 requisito
- Un rechazo o un hallazgo crítico llega a una persona1 requisito
- Hay un plazo de corrección declarado para cada severidad1 requisito
- Se guarda un SBOM de las images en servicio1 requisito
- Se rechazan las images con hallazgos graves1 requisito
- Los privilegios de los workloads se limitan en la admission1 requisito
Qué contiene el informe.
Todos los paquetes llevan las mismas secciones, sea cual sea el framework. Las marcadas son las que citan las respuestas para ISO/IEC 27001, con el número de requisitos que cita cada una.
- Organisation
- Framework mapping
- Cluster
- Control statement4
- Coverage2
- Vulnerability findings
- Outcomes1
- Admission decisions4
- Supply chain3
- Triage decisions1
- Break-glass events1
- Availability1
- Evidence chain4
- Deployment context1
- Issues1
- Ledger
- Population
- Runtime events
- Producer statements (VEX)
El párrafo de alcance, tal como lo formula el informe.
This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto ISO/IEC 27001:2022 Annex A. Certification is granted to an information security management system, not to a control instrument: this document is evidence an assessor can place against a small number of Annex A controls, chiefly A.8.8 technical vulnerability management, A.8.19 software on operational systems and A.8.28 secure coding's deployment half. The management system clauses and the controls that govern people, physical security and suppliers as organisations are outside the scope of this document and are marked as such.
Sobre ISO/IEC 27001
¿Es esto una certificación según ISO/IEC 27001?
No. El paquete es evidencia generada a partir de los propios registros de su cluster. No es una certificación, y ningún auditor está obligado a aceptarlo. El párrafo de alcance de esta página es el mismo que lleva el informe.
¿Por qué 2 de los requisitos están fuera de alcance?
Preguntan por cosas que los registros de admission y escaneo de un cluster no pueden mostrar. Se incluyen con el motivo en lugar de omitirse, para que quien lea el informe vea que la exclusión es deliberada.
¿Qué plan incluye ISO/IEC 27001?
Todos los planes pueden generar informes para este framework. Community y Team incluyen 1 framework a elegir; Business, 3; Enterprise, todos. Los precios están en la página de precios.
¿Cómo comprueba un auditor el paquete?
En un navegador, en attestkeep.com/verify.html, donde no se sube nada, o con el breve script del sitio de documentación. Ninguno de los dos nos necesita. La página Para auditores tiene los detalles.
Instálelo usted mismo.
Cree una cuenta, confirme su correo con el código que le enviamos, obtenga la clave Community gratuita en la página Licences e instale con Helm.
Crear una cuenta