NIST SP 800-53 Rev. 5 (controles seleccionados)
Attestkeep vincula lo que el admission control y el escaneo de images de su cluster registraron en un periodo con 15 requisitos (fuente: NIST SP 800-53 Rev. 5). De ellos, 15 se evalúan con esos registros; ninguno se marca fuera de alcance.
15 requisitos a los que responde un cluster.
Referencias y títulos tal como los imprime el informe, es decir, en inglés. Abra un requisito para leer lo que pide, expresado de forma próxima al texto del propio instrumento.
Security and Privacy Controls for Information Systems
NIST SP 800-53 Rev. 5
Una selección de controles CM, RA, SI, SR, AU y CP
| Referencia | Requisito | Secciones del informe |
|---|---|---|
| CM-2 | Baseline configurationDesarrollar, documentar y mantener una configuración de referencia actual del sistema bajo control de configuración. | Control statementAdmission decisions |
| CM-3 | Configuration change controlDeterminar y documentar los tipos de cambios sujetos a control de configuración, revisar los cambios propuestos y conservar registros de ellos. | Triage decisionsEvidence chain |
| CM-7 | Least functionalityConfigurar el sistema para que ofrezca solo las capacidades esenciales para la misión, y prohibir o restringir las funciones, puertos, protocolos y servicios que no sean necesarios. | Control statementAdmission decisions |
| CM-14 | Signed componentsImpedir la instalación de componentes de software y firmware sin verificar que se han firmado digitalmente con un certificado reconocido y aprobado. | Supply chainControl statementAdmission decisions |
| RA-5 | Vulnerability monitoring and scanningSupervisar y escanear las vulnerabilidades del sistema y de las aplicaciones alojadas, analizar los informes y corregir las vulnerabilidades reales dentro de los tiempos de respuesta fijados por la organización. | CoverageAdmission decisionsOutcomesControl statementIssues |
| RA-7 | Risk responseResponder a los resultados de evaluaciones de seguridad, supervisión y auditorías según la tolerancia al riesgo de la organización. | Triage decisionsAdmission decisionsDeployment contextBreak-glass events |
| SI-2 | Flaw remediationIdentificar, notificar y corregir los defectos del sistema, e instalar las actualizaciones de seguridad en un plazo definido desde su publicación. | CoverageControl statementIssues |
| SI-3 | Malicious code protectionImplementar mecanismos de protección frente a código malicioso en los puntos de entrada y salida del sistema, y actualizarlos cuando haya nuevas versiones. | CoverageSupply chainControl statement |
| SI-7 | Software, firmware and information integrityEmplear herramientas de verificación de integridad para detectar cambios no autorizados en el software, el firmware y la información. | Supply chainControl statement |
| SR-3 | Supply chain controls and processesEstablecer un proceso para identificar y corregir debilidades o deficiencias en los elementos y procesos de la cadena de suministro. | Control statementCoverage |
| SR-4 | ProvenanceDocumentar, supervisar y mantener una procedencia válida de los sistemas, componentes y datos asociados. | Supply chainControl statementOrganisation |
| SR-11 | Component authenticityDesarrollar y aplicar una política y procedimientos contra la falsificación, y buscar componentes del sistema falsificados. | Supply chainControl statement |
| AU-2 | Event loggingIdentificar los tipos de eventos que el sistema puede registrar y registrar los que la organización considere necesarios. | Evidence chain |
| AU-12 | Audit record generationOfrecer la capacidad de generar registros de auditoría para los tipos de eventos auditables y generar registros con el contenido requerido. | Evidence chainControl statementAdmission decisions |
| CP-2 / SI-13 | Continuity of the controlPlanificar la continuidad de las funciones esenciales de la misión y la disponibilidad de los mecanismos que las protegen. | Availability |
Evidencia a partir de registros que el cluster ya guarda.
Nada se rellena a mano. La respuesta de cada requisito lleva un estado (cumplido, parcial, carencia o fuera de alcance), una nota con las cifras del propio periodo y las secciones del informe de donde salen esas cifras.
En qué se apoya el mapeo
Cada requisito evaluado se responde con una o varias de estas afirmaciones sobre los registros del periodo. La misma afirmación responde a la misma pregunta en todos los frameworks, así que dos informes de un mismo periodo no pueden discrepar.
- Solo pueden ejecutarse images de procedencia establecida5 requisitos
- Cada image del inventario tiene un registro de escaneo4 requisitos
- Se registra cada decisión y cada acción administrativa3 requisitos
- La admission rechaza los workloads que no cumplen2 requisitos
- Los workloads nombran las images por digest, no por un tag movible2 requisitos
- Los riesgos aceptados tienen nombre, justificación y caducidad2 requisitos
- Las images solo pueden entrar desde registries autorizados2 requisitos
- Hay un plazo de corrección declarado para cada severidad2 requisitos
- Los privilegios de los workloads se limitan en la admission2 requisitos
- Los umbrales de vulnerabilidad son más estrictos donde el workload está expuesto o tiene privilegios1 requisito
- El propio control estuvo operativo durante todo el periodo1 requisito
- Un rechazo o un hallazgo crítico llega a una persona1 requisito
- La organización que opera el control está identificada1 requisito
- Se guarda un SBOM de las images en servicio1 requisito
- Se rechazan las images con hallazgos graves1 requisito
Qué contiene el informe.
Todos los paquetes llevan las mismas secciones, sea cual sea el framework. Las marcadas son las que citan las respuestas para NIST SP 800-53, con el número de requisitos que cita cada una.
- Organisation1
- Framework mapping
- Cluster
- Control statement11
- Coverage4
- Vulnerability findings
- Outcomes1
- Admission decisions6
- Supply chain5
- Triage decisions2
- Break-glass events1
- Availability1
- Evidence chain3
- Deployment context1
- Issues2
- Ledger
- Population
- Runtime events
- Producer statements (VEX)
El párrafo de alcance, tal como lo formula el informe.
This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto a selection of NIST SP 800-53 Rev. 5 controls. The catalogue is far larger than any one instrument can answer; the controls below are those where image scanning and admission enforcement are the operating mechanism — configuration management, risk assessment, system and information integrity, supply chain risk management, and the audit controls the decision record answers. Controls outside that selection are not addressed here and no inference should be drawn about them.
Sobre NIST SP 800-53
¿Es esto una certificación según NIST SP 800-53?
No. El paquete es evidencia generada a partir de los propios registros de su cluster. No es una certificación, y ningún auditor está obligado a aceptarlo. El párrafo de alcance de esta página es el mismo que lleva el informe.
¿Alguno de los 15 requisitos está fuera de alcance?
No. Cada requisito de este mapeo se evalúa con los registros del periodo, y cada uno nombra las secciones del informe de donde sale su respuesta.
¿Qué plan incluye NIST SP 800-53?
Todos los planes pueden generar informes para este framework. Community y Team incluyen 1 framework a elegir; Business, 3; Enterprise, todos. Los precios están en la página de precios.
¿Cómo comprueba un auditor el paquete?
En un navegador, en attestkeep.com/verify.html, donde no se sube nada, o con el breve script del sitio de documentación. Ninguno de los dos nos necesita. La página Para auditores tiene los detalles.
Instálelo usted mismo.
Cree una cuenta, confirme su correo con el código que le enviamos, obtenga la clave Community gratuita en la página Licences e instale con Helm.
Crear una cuenta