RGPD article 32
Attestkeep rattache ce que l'admission control et le scan d'images de votre cluster ont enregistré sur une période à 6 exigences (source : règlement (UE) 2016/679). 4 sont évaluées sur ces enregistrements ; 2 sont marquées hors périmètre, chacune avec la raison.
4 exigences à portée de cluster.
Références et titres tels que le rapport les imprime, c'est-à-dire en anglais. Ouvrez une exigence pour lire ce qu'elle demande, reformulé au plus près du texte de l'instrument.
General Data Protection Regulation
règlement (UE) 2016/679
Article 32 — sécurité du traitement
| Référence | Exigence | Sections du rapport |
|---|---|---|
| Article 32(1)(b) | Ongoing confidentiality, integrity, availability and resilienceDes moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement. | CoverageAdmission decisionsOutcomesSupply chainControl statement |
| Article 32(1)(d) | Regular testing, assessing and evaluating of the measuresUne procédure visant à tester, analyser et évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement. | AvailabilityEvidence chainControl statementIssues |
| Article 32(2) | Risks presented by the processingLors de l'évaluation du niveau de sécurité approprié, il est tenu compte des risques que présente le traitement, notamment de la divulgation non autorisée de données personnelles ou de l'accès non autorisé à celles-ci. | Control statementAdmission decisionsTriage decisions |
| Article 32(4) | Persons acting under authorityLe responsable du traitement et le sous-traitant prennent des mesures pour que toute personne physique agissant sous leur autorité et ayant accès à des données personnelles ne les traite que sur instruction. | Evidence chain |
2 exigences hors périmètre, et pourquoi
| Référence | Exigence et raison |
|---|---|
| Article 32(1)(a) | Pseudonymisation and encryption of personal data Le chiffrement et la pseudonymisation sont des propriétés des données et de l'application qui les traite ; un admission control décide quel logiciel peut tourner, pas ce que ce logiciel fait d'un enregistrement. |
| Article 32(1)(c) | Restoring availability and access after an incident La sauvegarde et la restauration des données personnelles appartiennent au responsable du traitement ; ce document rend compte de la disponibilité de l'admission control, pas de celle des données. |
Preuves tirées des journaux que tient déjà le cluster.
Rien n'est rempli à la main. La réponse à chaque exigence porte un statut (satisfaite, partielle, écart ou hors périmètre), une note avec les chiffres de la période et les sections du rapport d'où viennent ces chiffres.
Ce sur quoi s'appuie le mapping
Chaque exigence évaluée reçoit sa réponse d'une ou plusieurs de ces affirmations sur les enregistrements de la période. La même affirmation répond à la même question dans tous les frameworks : deux rapports sur une même période ne peuvent pas diverger.
- Chaque décision et chaque action d'administration est enregistrée2 exigences
- L'accès administrateur est fédéré à un annuaire1 exigence
- L'admission refuse les workloads non conformes1 exigence
- Le contrôle lui-même a fonctionné pendant toute la période1 exigence
- Les risques acceptés sont nommés, justifiés et expirent1 exigence
- Seules les images de provenance établie peuvent tourner1 exigence
- Les images n'entrent que depuis des registries désignés1 exigence
- Un délai de correction est déclaré pour chaque sévérité1 exigence
- Chaque image de l'inventaire a un enregistrement de scan1 exigence
- Les images portant des vulnérabilités graves sont refusées1 exigence
- Les privilèges des workloads sont limités à l'admission1 exigence
Ce que contient le rapport.
Chaque paquet contient les mêmes sections, quel que soit le framework. Les sections signalées sont celles que citent les réponses pour l'article 32 du RGPD, avec le nombre d'exigences qui renvoient à chacune.
- Organisation
- Framework mapping
- Cluster
- Control statement3
- Coverage1
- Vulnerability findings
- Outcomes1
- Admission decisions2
- Supply chain1
- Triage decisions1
- Break-glass events
- Availability1
- Evidence chain2
- Deployment context
- Issues1
- Ledger
- Population
- Runtime events
- Producer statements (VEX)
Le paragraphe de périmètre, tel que le rapport l'imprime (en anglais).
This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto Article 32 of Regulation (EU) 2016/679. Article 32 requires technical and organisational measures appropriate to the risk of the processing. Evidence that the systems processing personal data are patched, that only known software runs on them, and that the control operates continuously speaks to Article 32(1)(b) and (d) and to Article 32(2). It is not evidence of a lawful basis, of data subject rights, of transfers or of any other obligation in the regulation, and no such claim is made here.
Sur l'article 32 du RGPD
Est-ce une certification selon l'article 32 du RGPD ?
Non. Le paquet est une preuve produite à partir des enregistrements de votre cluster. Ce n'est pas une certification, et aucun auditeur n'est tenu de l'accepter. Le paragraphe de périmètre de cette page est celui que porte le rapport lui-même.
Pourquoi 2 exigences sont-elles hors périmètre ?
Elles portent sur des choses que les enregistrements d'admission et de scan d'un cluster ne peuvent pas montrer. Elles figurent avec la raison au lieu d'être omises, pour que le lecteur du rapport voie que l'exclusion est voulue.
Quel plan inclut l'article 32 du RGPD ?
Tous les plans peuvent produire un rapport selon ce framework. Community et Team incluent un framework au choix, Business trois, Enterprise tous. Les prix sont sur la page des tarifs.
Comment un auditeur vérifie-t-il le paquet ?
Dans un navigateur, sur attestkeep.com/verify.html, où rien n'est envoyé, ou avec le court script du site de documentation. Aucun des deux n'a besoin de nous. La page Pour les auditeurs donne le détail.
Installez-le vous-même.
Créez un compte, confirmez votre e-mail avec le code envoyé, prenez la clé Community gratuite sur la page Licences et installez avec Helm.
Créer un compte