Control Criteria of ISMAP (août 2024)

Les actifs que ce contrôle demande à l'inventaire de distinguer sont les données du client et celles que le service en dérive ; l'inventaire de ce cluster contient les images qui ont tourné et ce qui les compose, donc le logiciel et non ce qu'il a traité, et répondre à un contrôle d'identification des données par un inventaire logiciel serait exactement l'exagération que ce paquet refuse.

La propriété, c'est une personne ou une équipe nommée qui répond d'un actif, inscrite au registre des actifs du fournisseur ; un cluster enregistre quelles images ont tourné et ce qu'elles contiennent, et rien dans ces enregistrements ne dit qui en est responsable.

La politique que demande ce contrôle régit qui peut atteindre les informations et les moyens de traitement du fournisseur, et elle est rédigée et réexaminée dans la gouvernance propre du fournisseur ; la policy qu'applique ce cluster décide quelles images peuvent tourner : un autre sujet, que l'anglais désigne du même mot.

Ce contrôle est une communication du fournisseur à ses propres clients sur son propre service ; un cluster enregistre les changements qu'il a admis et sous quelle policy, et rien dans ces enregistrements ne dit si quelqu'un a été informé.

Ce contrôle demande au fournisseur de donner à ses clients un moyen d'obtenir les journaux de leur usage du service ; le journal que tient ce contrôle concerne le cluster du fournisseur et c'est le fournisseur qui le lit, soit l'inverse du sens que vise le contrôle.

Qui répond de la surveillance, de l'évaluation et de la correction d'une vulnérabilité est une attribution que fait le fournisseur et qu'il consigne dans sa propre gouvernance ; un cluster montre le travail fait, jamais qui devait le faire.

Ces règles sont établies au sein de l'organisation de développement et appliquées pendant l'écriture du logiciel ; ce cluster rencontre le résultat sous forme d'image construite et peut dire ce qu'elle contient et qui l'a signée, pas selon quelle règle travaillaient ceux qui l'ont faite.

Ce que le fournisseur publie sur sa façon de développer, et ce que sa politique de divulgation retient, se décide hors de ce cluster et n'y est consigné nulle part.

Les changements que régit ce contrôle se font dans le cycle de développement, avant que quoi que ce soit ne soit construit ; l'historique des changements de ce cluster concerne des images arrivant sur un système en marche et il est rapporté sous 12.1.2, là où ces critères le demandent.

Ce contrôle teste les fonctions de sécurité avec lesquelles un système est construit, pendant sa construction ; scanner une image terminée mesure quelles vulnérabilités connues portent ses composants, c'est une autre mesure, portant sur un autre objet, et elle ne la remplace pas.

Ce contrôle est un accord conclu avec un fournisseur et mis par écrit ; un cluster voit le logiciel qu'un fournisseur a livré, pas les conditions de cette livraison.

Ce contrôle porte sur le droit qui pourrait atteindre les données du client et sur le contrat qui le précise ; il reçoit sa réponse de l'analyse juridique que fait le fournisseur de ses sous-traitants et de ses contrats, et une décision d'admission n'observe ni l'un ni l'autre.

Ce document est une preuve que lit une telle revue, pas la revue elle-même ; l'indépendance demandée tient à qui la mène, et un contrôle ne peut pas se revoir lui-même. Sous ISMAP, la revue est menée par un évaluateur inscrit sur la liste des évaluateurs enregistrés, sur la période d'évaluation déclarée par le fournisseur.

Tout le tableau annexé 1 décrit ce que fait un organe de gouvernance : évaluer si les objectifs de sécurité sont alignés sur l'activité, diriger les responsables, suivre ce qu'ils rapportent, communiquer avec les parties prenantes et commander l'assurance. Rien de tout cela n'est une propriété d'un cluster, et un fournisseur l'établit à partir des registres de son conseil.

Le tableau annexé 2 est le système de management : périmètre, politique, appréciation et traitement des risques, compétences, informations documentées, évaluation interne, revue de direction, actions correctives, et la communication sur les risques avec les clients cloud qu'ajoute le chapitre 4.9. Il est évalué sur les propres enregistrements du fournisseur, et un cluster est l'une des choses qu'il dirige, pas une partie de lui.

La vérification avant embauche, les clauses du contrat, la formation de sensibilisation, la procédure disciplinaire et les responsabilités qui survivent à un départ portent toutes sur des personnes ; une décision d'admission prise sur une image n'en observe aucune.

Périmètres, contrôles d'accès physique, câblage, emplacement des équipements et mise au rebut sécurisée sont des propriétés des centres de données que le fournisseur exploite ou achète ; un webhook dans un cluster ne voit rien du bâtiment où il tourne.

La segmentation réseau, les accords de services réseau et la cohérence entre un réseau virtuel et le réseau physique en dessous se configurent dans le réseau et dans la plateforme sous les nodes ; ce contrôle décide quelles images peuvent tourner et ne voit jamais un paquet.