Régional · Corée du Sud

ISMS-P Certification Criteria (novembre 2023)

Attestkeep rattache ce que l'admission control et le scan d'images de votre cluster ont enregistré sur une période à 32 exigences (source : 정보보호 및 개인정보보호 관리체계 인증기준, annexe 7 de l'avis conjoint de la Personal Information Protection Commission et du Ministry of Science and ICT, tel que l'explique le 인증기준 안내서 de la KISA de novembre 2023). 21 sont évaluées sur ces enregistrements ; 11 sont marquées hors périmètre, chacune avec la raison.

Créer un compte Construction d'un paquet

Ce que demande le framework

21 exigences à portée de cluster.

Références et titres tels que le rapport les imprime, c'est-à-dire en anglais. Ouvrez une exigence pour lire ce qu'elle demande, reformulé au plus près du texte de l'instrument.

ISMS-P Certification Criteria

정보보호 및 개인정보보호 관리체계 인증기준, annexe 7 de l'avis conjoint de la Personal Information Protection Commission et du Ministry of Science and ICT, tel que l'explique le 인증기준 안내서 de la KISA de novembre 2023

Domaine 1 (mise en place et exploitation du système de management) : gestion des risques et exploitation du système de management. Domaine 2 (exigences des mesures de protection) : politique, organisation et gestion des actifs ; sécurité des tiers ; gestion de l'authentification et des autorisations ; introduction des systèmes d'information et sécurité du développement ; gestion de l'exploitation des systèmes et services ; gestion de la sécurité des systèmes et services ; prévention et réponse aux incidents. La sécurité du personnel, la sécurité physique, le contrôle d'accès, l'application du chiffrement, la reprise après sinistre et tout le domaine 3 (exigences à chaque étape du traitement des informations personnelles) sont nommés et restent hors périmètre

Référence	Exigence	Sections du rapport
Criterion 1.2.1 정보자산 식별 (Identification of information assets), 인증기준 sentence translated from the Korean guide, 2023.11	All information assets in scope are identified, classified and kept current Une norme de classification des actifs informationnels est établie selon les caractéristiques de l'activité de l'organisation ; tous les actifs du périmètre du système de management sont identifiés et classés, leur criticité évaluée et l'inventaire qui en résulte tenu à jour.	CoverageSupply chain
Criterion 1.3.3 운영현황 관리 (Management of operating status), 인증기준 sentence translated from the Korean guide, 2023.11	Operating activities are recorded so they can be identified and traced Les activités d'exploitation à mener en continu ou périodiquement dans le système de management établi, et la trace de leur réalisation, sont enregistrées et gérées de façon à pouvoir être identifiées et retracées ; la direction vérifie et pilote périodiquement l'efficacité de ces activités.	Evidence chain
Criterion 2.1.3 정보자산 관리 (Management of information assets), 인증기준 sentence translated from the Korean guide, 2023.11	Handling procedures by criticality, and responsibility defined per asset Des procédures de manipulation et des mesures de protection adaptées à la finalité et à la criticité d'un actif informationnel sont établies et appliquées, et la responsabilité de chaque actif est clairement définie et gérée.	CoverageSupply chainControl statement
Criterion 2.3.3 외부자 보안 이행 관리 (Management of an outsider's security performance), 인증기준 sentence translated from the Korean guide, 2023.11	An outsider's protective measures are supervised by periodic inspection or audit Le fait qu'un tiers applique les mesures de protection exigées par les exigences de sécurité de l'information et de protection des données personnelles du contrat, de l'accord ou de la politique interne est géré et supervisé par des inspections, audits ou contrôles périodiques.	Supply chainControl statementProducer statements (VEX)
Criterion 2.5.3 사용자 인증 (User authentication), 인증기준 sentence translated from the Korean guide, 2023.11	Access applies a secure authentication procedure, strengthened where needed L'accès des utilisateurs aux systèmes d'information et aux informations personnelles et importantes applique une procédure d'authentification sûre et, si nécessaire, une méthode d'authentification renforcée. Des mesures contre l'accès de personnes non autorisées, comme la limitation du nombre de tentatives de connexion et des alertes sur les tentatives illégitimes, sont aussi établies et appliquées.	Evidence chain
Criterion 2.5.5 특수 계정 및 권한 관리 (Management of special accounts and privileges), 인증기준 sentence translated from the Korean guide, 2023.11	Special-purpose accounts and privileges are minimal, separately identified Les comptes et privilèges à usage spécial, comme l'administration des systèmes d'information ou la gestion des informations personnelles et importantes, sont accordés au strict minimum, identifiés séparément et contrôlés.	Evidence chain
Criterion 2.5.6 접근권한 검토 (Review of access rights), 인증기준 sentence translated from the Korean guide, 2023.11	Account and privilege changes are recorded and reviewed periodically La création, l'utilisation et la suppression des comptes utilisateurs ayant accès aux systèmes d'information et aux informations personnelles et importantes, ainsi que l'attribution, la modification et le retrait des droits d'accès, sont consignées et revues périodiquement pour vérifier qu'elles restent appropriées.	Evidence chain
Criterion 2.8.2 보안 요구사항 검토 및 시험 (Review and testing of security requirements), 인증기준 sentence translated from the Korean guide, 2023.11	Security requirements reviewed and tested, and the problems found corrected Pour vérifier qu'un système d'information a été introduit ou mis en œuvre conformément aux exigences de sécurité définies à l'avance, des critères et procédures de revue sont établis et appliqués, comme la conformité aux exigences légales, l'inspection des vulnérabilités les plus récentes, la mise en œuvre du codage sécurisé et une analyse d'impact relative à la vie privée ; les problèmes trouvés font l'objet de mesures correctives.	CoverageAdmission decisionsOutcomesControl statement
Criterion 2.8.5 소스 프로그램 관리 (Management of source programs), 인증기준 sentence translated from the Korean guide, 2023.11	Source programs are reachable only by authorized users and kept out of production Les programmes sources sont gérés de sorte que seuls les utilisateurs autorisés y accèdent, et ne sont en principe pas conservés dans l'environnement d'exploitation.	Supply chainControl statement
Criterion 2.8.6 운영환경 이관 (Transfer to the operational environment), 인증기준 sentence translated from the Korean guide, 2023.11	The move into production follows a controlled procedure, and code runs only once accepted Le passage en exploitation d'un système nouvellement introduit, développé ou modifié suit une procédure maîtrisée, et le code exécutable ne tourne qu'après les procédures de test et de recette utilisateur.	Control statementAdmission decisionsSupply chain
Criterion 2.9.1 변경관리 (Change management), 인증기준 sentence translated from the Korean guide, 2023.11	Every change to a system asset is managed, and its effect analysed beforehand Une procédure est établie et appliquée pour que tout changement d'un actif lié aux systèmes d'information puisse être géré, et l'effet sur les performances et la sécurité du système est analysé avant le changement.	Admission decisionsEvidence chain
Criterion 2.9.4 로그 및 접속기록 관리 (Management of logs and access records), 인증기준 sentence translated from the Korean guide, 2023.11	Log types, retention period and method are decided, and logs kept safe from tampering Pour les systèmes d'information comme les serveurs, applications, systèmes de sécurité et systèmes réseau, les types de journaux (accès des utilisateurs, journaux système, attribution de privilèges et autres), leur durée et leur mode de conservation sont fixés, et ils sont conservés et gérés de façon sûre pour ne pas être falsifiés, modifiés, volés ou perdus.	Evidence chain
Criterion 2.9.5 로그 및 접속기록 점검 (Inspection of logs and access records), 인증기준 sentence translated from the Korean guide, 2023.11	Logs are reviewed against criteria on a cycle, and problems acted on in time Pour garantir l'usage normal d'un système d'information et prévenir les abus des utilisateurs (connexion non autorisée, requêtes excessives et autres), des critères d'examen des journaux d'accès et d'utilisation sont établis et les journaux inspectés périodiquement ; en cas de problème, les suites nécessaires sont données à temps.	Evidence chainAdmission decisionsBreak-glass events
Criterion 2.10.1 보안시스템 운영 (Operation of security systems), 인증기준 sentence translated from the Korean guide, 2023.11	Operating procedures per security system, and the state of policy application managed Pour chaque type de système de sécurité, des procédures d'exploitation sont établies et appliquées, comme la désignation d'un administrateur, la mise à jour de la politique vers la dernière version, la modification des règles et la surveillance des événements, et l'état d'application de la politique est géré pour chaque système de sécurité.	Control statementAdmission decisionsTriage decisionsEvidence chain
Criterion 2.10.2 클라우드 보안 (Cloud security), 인증기준 sentence translated from the Korean guide, 2023.11	Administrator access and security settings protected against misconfiguration and unauthorized access Lors de l'utilisation d'un service cloud, des mesures de protection de l'accès administrateur et des réglages de sécurité sont établies et appliquées pour que les informations importantes et personnelles ne fuient pas et ne soient pas exposées par un accès non autorisé ou une mauvaise configuration liée au type de service (SaaS, PaaS, IaaS et autres).	Control statementAdmission decisionsEvidence chain
Criterion 2.10.3 공개서버 보안 (Security of public servers), 인증기준 sentence translated from the Korean guide, 2023.11	A server exposed to an external network is separated and given strengthened measures Un serveur exposé à un réseau externe est séparé du réseau interne, et des mesures de protection renforcées sont établies et appliquées : inspection des vulnérabilités, contrôle d'accès, authentification et procédures de collecte, de stockage et de publication de l'information.	CoverageControl statementAdmission decisions
Criterion 2.10.8 패치관리 (Patch management), 인증기준 sentence translated from the Korean guide, 2023.11	The latest patches are applied, with compensating measures where they cannot be Les derniers correctifs sont appliqués pour prévenir les intrusions exploitant une vulnérabilité d'un logiciel, d'un système d'exploitation, d'un système de sécurité et autres. Lorsque, après examen de l'effet sur le service, l'application du dernier correctif est difficile, des mesures compensatoires distinctes sont préparées et appliquées.	CoverageControl statementClusterTriage decisionsIssues
Criterion 2.11.1 사고 예방 및 대응체계 구축 (Establishing an incident prevention and response framework), 인증기준 sentence translated from the Korean guide, 2023.11	A framework for detecting, responding to, analysing and sharing intrusion attempts Un cadre et des procédures de détection, de réponse, d'analyse et de partage des tentatives d'intrusion internes et externes sont établis pour prévenir les intrusions et les fuites de données personnelles et y répondre rapidement et efficacement, et une coopération est organisée avec les organismes et experts externes concernés.	Admission decisionsBreak-glass events
Criterion 2.11.2 취약점 점검 및 조치 (Vulnerability inspection and action), 인증기준 sentence translated from the Korean guide, 2023.11	Vulnerabilities inspected periodically and acted on, and new ones tracked Une inspection des vulnérabilités est menée périodiquement pour vérifier si les vulnérabilités d'un système d'information sont exposées, et celles qui sont trouvées sont traitées sans délai. L'apparition de nouvelles vulnérabilités est aussi suivie en continu, et leur effet sur le système analysé et traité.	CoverageAdmission decisionsOutcomesClusterControl statementIssues
Criterion 2.11.3 이상행위 분석 및 모니터링 (Analysis and monitoring of anomalous behaviour), 인증기준 sentence translated from the Korean guide, 2023.11	Flows are collected and analysed so intrusion attempts are detected quickly Les flux réseau et de données sont collectés et analysés afin de détecter et de traiter rapidement les tentatives d'intrusion internes ou externes, les tentatives de fuite d'informations personnelles et les actes frauduleux, et les résultats de la surveillance et de l'inspection reçoivent une suite à temps.	CoverageRuntime events
Criterion 2.11.5 사고 대응 및 복구 (Incident response and recovery), 인증기준 sentence translated from the Korean guide, 2023.11	Incidents are notified as the law requires, responded to, and their recurrence prevented Quand un signe ou la survenue d'une intrusion ou d'une fuite d'informations personnelles est constaté, les obligations légales de notification et de déclaration sont respectées ; la réponse et la reprise suivent la procédure sans délai, et après analyse de l'incident des mesures contre sa répétition sont établies et intégrées au cadre de réponse.	Admission decisionsEvidence chainBreak-glass events

11 exigences hors périmètre, et pourquoi

Référence	Exigence et raison
Section 1.1 Setting up foundation for management system; the text quoted is criterion 1.1.1 경영진의 참여, 인증기준 sentence translated from the Korean guide, 2023.11	Setting up foundation for management system La participation de la direction, la nomination d'un responsable, la composition de l'organisation, le périmètre de certification, la politique et l'allocation des ressources sont des décisions que l'organisation prend et consigne ; aucune n'est une propriété d'un cluster.
Criterion 1.4.2 관리체계 점검 (Inspection of the management system), 인증기준 sentence translated from the Korean guide, 2023.11	The management system is inspected at least once a year by independent, expert staff Ce document est une preuve que lit une telle inspection, pas l'inspection elle-même ; l'indépendance demandée tient à qui la mène, et un contrôle ne peut pas s'inspecter lui-même.
Section 2.2 Personal security; the text quoted is criterion 2.2.1 주요 직무자 지정 및 관리, 인증기준 sentence translated from the Korean guide, 2023.11	Personal security La désignation des titulaires de fonctions clés, la séparation des tâches, les engagements de sécurité, la formation de sensibilisation, la gestion des départs et des mutations, et les mesures prises après une violation de sécurité portent sur des personnes ; une décision d'admission prise sur une image n'en observe aucune.
Criterion 2.3.1 외부자 현황 관리 (Management of the outsider position), 인증기준 sentence translated from the Korean guide, 2023.11	Outsourcing and external services are identified and their risks understood Ce que ce critère demande d'identifier est un registre de qui l'organisation a engagé et de ce qu'elle a acheté ; un cluster voit le logiciel que ces tiers ont livré, rapporté sous 2.3.3, pas les relations commerciales qui sont derrière.
Section 2.4 Physical security; the text quoted is criterion 2.4.1 보호구역 지정, 인증기준 sentence translated from the Korean guide, 2023.11	Physical security Zones protégées, contrôle des entrées, installations de protection, travail en zone protégée, contrôle du matériel entrant et sortant et règles du bureau propre sont des propriétés de bâtiments ; un webhook dans un cluster ne voit rien du bâtiment où il tourne.
Section 2.6 Access control; the text quoted is criterion 2.6.2 정보시스템 접근, 인증기준 sentence translated from the Korean guide, 2023.11	Access control L'accès réseau, l'accès aux systèmes d'exploitation, aux applications et aux bases de données, le Wi-Fi, l'accès distant et l'accès Internet se configurent dans le réseau, les hôtes et les applications elles-mêmes ; ce contrôle décide quelles images peuvent tourner, et l'accès administrateur au contrôle lui-même est rapporté sous 2.5.3 et 2.5.5.
Section 2.7 Application of encryption; the text quoted is criterion 2.7.1 암호정책 적용, 인증기준 sentence translated from the Korean guide, 2023.11	Application of encryption Ce qui doit être chiffré et avec quelle force est fixé par le Personal Information Protection Act et par la politique de l'organisation, et appliqué dans les systèmes qui détiennent et déplacent les données ; les signatures que vérifie ce contrôle prouvent qui s'est porté garant d'une image et ne sont pas le chiffrement que demande ce critère.
Criterion 2.8.1 보안 요구사항 정의 (Definition of security requirements), 인증기준 sentence translated from the Korean guide, 2023.11	Security requirements are defined and applied when a system is introduced or changed Les exigences que demande ce critère sont écrites à l'analyse et à la conception et reflétées dans ce qui est construit ; ce cluster rencontre le résultat sous forme d'image construite, et le fait qu'elles aient été définies avant le début du travail se prouve là où le travail a été fait. Ce que fait l'admission de l'artefact terminé est rapporté sous 2.8.2 et 2.8.6.
Criterion 2.10.9 악성코드 통제 (Control of malicious code), 인증기준 sentence translated from the Korean guide, 2023.11	Malicious code is prevented, detected and responded to Le scan de ce produit est un scan de vulnérabilités, pas un scan antimalware : il compare les composants d'une image à une base de vulnérabilités connues, ce qui trouve des faiblesses dans un logiciel que quelqu'un voulait installer, et ne cherche ni virus, ni ver, ni cheval de Troie, ni ransomware. Les questions de contrôle demandent un antivirus à jour de ses signatures et une procédure pour contenir une infection, et ce contrôle n'est ni l'un ni l'autre.
Section 2.12 Disaster recovery; the text quoted is criterion 2.12.1 재해·재난 대비 안전조치, 인증기준 sentence translated from the Korean guide, 2023.11	Disaster recovery Identifier les types de sinistres, fixer des objectifs de reprise et répéter une reprise est un travail de planification et d'exercice à l'échelle de l'organisation ; un admission control décide de ce qui peut tourner et ne garde aucune copie de quoi que ce soit à restaurer.
Domain 3 Requirements in each step of personal information processing; the text quoted is criterion 3.1.1 개인정보 수집·이용, 인증기준 sentence translated from the Korean guide, 2023.11	Requirements in each step of personal information processing Tout le domaine 3 suit les informations personnelles elles-mêmes au long de leur cycle de vie (collecte, conservation et usage, communication à des tiers, destruction, droits de la personne concernée) et reçoit sa réponse des registres de consentement, de la notice de confidentialité et des systèmes de traitement de l'organisation. Ce contrôle ne voit jamais d'informations personnelles : il décide quelles images de container peuvent tourner et ne sait rien de ce qu'elles traitent.

Ce que produit Attestkeep

Preuves tirées des journaux que tient déjà le cluster.

Rien n'est rempli à la main. La réponse à chaque exigence porte un statut (satisfaite, partielle, écart ou hors périmètre), une note avec les chiffres de la période et les sections du rapport d'où viennent ces chiffres.

Ce sur quoi s'appuie le mapping

Chaque exigence évaluée reçoit sa réponse d'une ou plusieurs de ces affirmations sur les enregistrements de la période. La même affirmation répond à la même question dans tous les frameworks : deux rapports sur une même période ne peuvent pas diverger.

Chaque décision et chaque action d'administration est enregistrée9 exigences
Chaque image de l'inventaire a un enregistrement de scan6 exigences
L'admission refuse les workloads non conformes4 exigences
L'accès administrateur est fédéré à un annuaire3 exigences
Un refus ou une vulnérabilité critique parvient à une personne3 exigences
Seules les images de provenance établie peuvent tourner3 exigences
Un SBOM est conservé pour les images en service3 exigences
Chaque changement d'image est enregistré avec la policy qui le régissait2 exigences
Les workloads désignent les images par digest, pas par un tag mobile2 exigences
Les risques acceptés sont nommés, justifiés et expirent2 exigences
Les vulnérabilités trouvées sont croisées avec un catalogue national de vulnérabilités exploitées2 exigences
Un délai de correction est déclaré pour chaque sévérité2 exigences
Les images portant des vulnérabilités graves sont refusées2 exigences
Les privilèges des workloads sont limités à l'admission2 exigences
Les images dont l'OS de base n'est plus supporté sont refusées1 exigence
La déclaration d'un éditeur de confiance sur son propre produit est lue et prise en compte1 exigence
Les images n'entrent que depuis des registries désignés1 exigence
Les détections d'un outil runtime sont rattachées aux images qui les ont produites1 exigence

Le paquet

Ce que contient le rapport.

Chaque paquet contient les mêmes sections, quel que soit le framework. Les sections signalées sont celles que citent les réponses pour ISMS-P, avec le nombre d'exigences qui renvoient à chacune.

Plus sur le paquet

Organisation
Framework mapping
Cluster2
Control statement10
Coverage7
Vulnerability findings
Outcomes2
Admission decisions10
Supply chain5
Triage decisions2
Break-glass events3
Availability
Evidence chain10
Deployment context
Issues2
Ledger
Population
Runtime events1
Producer statements (VEX)1

Périmètre

Le paragraphe de périmètre, tel que le rapport l'imprime (en anglais).

This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto the ISMS-P Certification Criteria — the 101 criteria a Korean organisation is certified against for information security and personal information protection. The criteria are addressed to the applicant organisation and cover its whole management system, its people, its buildings, its networks and the entire lifecycle of the personal information it processes. Nothing here is a certification audit and nothing here establishes conformity: an auditor from a certification body works through the criteria against the organisation, and this cluster is one system inside its scope. What the period's records support is a part of two of the three domains, and only for the software inside container images: the asset identification of 1.2.1 and 2.1.3, the operating record of 1.3.3, the supplier assurance of 2.3.3, the authentication and privileged accounts of 2.5.3, 2.5.5 and 2.5.6, the development and hand-over criteria of 2.8.2, 2.8.5 and 2.8.6, the change and log criteria of 2.9.1, 2.9.4 and 2.9.5, the security system, cloud and public server criteria of 2.10.1 to 2.10.3, patch management in 2.10.8, and incident prevention, vulnerability inspection, anomaly monitoring and incident response in 2.11.1 to 2.11.5. Domain 3, the requirements at each step of personal information processing, is outside it entirely, as are personal security, physical security, access control, application of encryption and disaster recovery. No criterion is reported as fully met: an ISMS-P criterion states a technical measure and a procedure, a designation or a periodic review together, and a cluster's records answer the first half only. Every criterion sentence quoted below is our translation of the Korean 인증기준 sentence as printed in KISA's guide of November 2023; there is no official English text of the criteria, and each citation says which criterion the translation came from.

Questions

Sur ISMS-P

Est-ce une certification selon ISMS-P ?

Non. Le paquet est une preuve produite à partir des enregistrements de votre cluster. Ce n'est pas une certification, et aucun auditeur n'est tenu de l'accepter. Le paragraphe de périmètre de cette page est celui que porte le rapport lui-même.

Pourquoi 11 exigences sont-elles hors périmètre ?

Elles portent sur des choses que les enregistrements d'admission et de scan d'un cluster ne peuvent pas montrer. Elles figurent avec la raison au lieu d'être omises, pour que le lecteur du rapport voie que l'exclusion est voulue.

Quel plan inclut ISMS-P ?

Tous les plans peuvent produire un rapport selon ce framework. Community et Team incluent un framework au choix, Business trois, Enterprise tous. Les prix sont sur la page des tarifs.

Comment un auditeur vérifie-t-il le paquet ?

Dans un navigateur, sur attestkeep.com/verify.html, où rien n'est envoyé, ou avec le court script du site de documentation. Aucun des deux n'a besoin de nous. La page Pour les auditeurs donne le détail.

Installez-le vous-même.

Créez un compte, confirmez votre e-mail avec le code envoyé, prenez la clé Community gratuite sur la page Licences et installez avec Helm.

Créer un compte