ISO/IEC 27001:2022 (annexe A)
Attestkeep rattache ce que l'admission control et le scan d'images de votre cluster ont enregistré sur une période à 12 exigences (source : ISO/IEC 27001:2022). 10 sont évaluées sur ces enregistrements ; 2 sont marquées hors périmètre, chacune avec la raison.
10 exigences à portée de cluster.
Références et titres tels que le rapport les imprime, c'est-à-dire en anglais. Ouvrez une exigence pour lire ce qu'elle demande, reformulé au plus près du texte de l'instrument.
Information security management systems — Requirements
ISO/IEC 27001:2022
Mesures de l'annexe A 5.15, 5.23, 5.25, 5.30, 8.8, 8.9, 8.15, 8.19, 8.28 et 8.32
| Référence | Exigence | Sections du rapport |
|---|---|---|
| Annex A 5.15 | Access controlDes règles de contrôle de l'accès physique et logique aux informations et aux autres actifs associés doivent être établies et mises en œuvre en fonction des exigences métier et de sécurité de l'information. | Evidence chain |
| Annex A 5.23 | Information security for use of cloud servicesDes processus d'acquisition, d'utilisation, de gestion et de sortie des services cloud doivent être établis conformément aux exigences de sécurité de l'information de l'organisation. | Control statementSupply chain |
| Annex A 5.25 | Assessment and decision on information security eventsL'organisation doit évaluer les événements de sécurité de l'information et décider s'ils doivent être classés comme incidents de sécurité de l'information. | Admission decisionsEvidence chainBreak-glass events |
| Annex A 8.8 | Management of technical vulnerabilitiesDes informations sur les vulnérabilités techniques des systèmes d'information utilisés doivent être obtenues, l'exposition de l'organisation à ces vulnérabilités doit être évaluée et des mesures appropriées doivent être prises. | CoverageAdmission decisionsOutcomesControl statementDeployment contextIssues |
| Annex A 8.9 | Configuration managementLes configurations, y compris les configurations de sécurité, du matériel, des logiciels, des services et des réseaux doivent être établies, documentées, mises en œuvre, surveillées et réexaminées. | Control statementAdmission decisions |
| Annex A 8.15 | LoggingDes journaux enregistrant les activités, exceptions, défaillances et autres événements pertinents doivent être produits, conservés, protégés et analysés. | Evidence chain |
| Annex A 8.19 | Installation of software on operational systemsDes procédures et des mesures doivent être mises en œuvre pour gérer de manière sûre l'installation de logiciels sur les systèmes en exploitation. | Control statementAdmission decisionsSupply chain |
| Annex A 8.28 | Secure codingDes principes de codage sécurisé doivent être appliqués au développement logiciel, y compris à l'acquisition et à l'utilisation sécurisées de composants tiers. | Supply chainCoverage |
| Annex A 8.32 | Change managementLes changements apportés aux moyens de traitement de l'information et aux systèmes d'information doivent suivre des procédures de gestion des changements. | Triage decisionsEvidence chain |
| Annex A 5.30 | ICT readiness for business continuityLa préparation des TIC doit être planifiée, mise en œuvre, maintenue et testée sur la base des objectifs de continuité d'activité et des exigences de continuité des TIC. | Availability |
2 exigences hors périmètre, et pourquoi
| Référence | Exigence et raison |
|---|---|
| Clauses 4 to 10 | The management system itself La certification porte sur le système de management de l'organisation ; un instrument de contrôle produit des preuves pour celui-ci et ne peut pas le remplacer. |
| Annex A 6 and 7 | People and physical controls Rien dans ces groupes de mesures n'est observable depuis un cluster ; ils sont listés pour montrer que leur absence de ce document est délibérée. |
Preuves tirées des journaux que tient déjà le cluster.
Rien n'est rempli à la main. La réponse à chaque exigence porte un statut (satisfaite, partielle, écart ou hors périmètre), une note avec les chiffres de la période et les sections du rapport d'où viennent ces chiffres.
Ce sur quoi s'appuie le mapping
Chaque exigence évaluée reçoit sa réponse d'une ou plusieurs de ces affirmations sur les enregistrements de la période. La même affirmation répond à la même question dans tous les frameworks : deux rapports sur une même période ne peuvent pas diverger.
- Chaque décision et chaque action d'administration est enregistrée4 exigences
- Seules les images de provenance établie peuvent tourner2 exigences
- Les images n'entrent que depuis des registries désignés2 exigences
- Chaque image de l'inventaire a un enregistrement de scan2 exigences
- L'accès administrateur est fédéré à un annuaire1 exigence
- L'admission refuse les workloads non conformes1 exigence
- Les seuils de vulnérabilité sont plus stricts là où le workload est exposé ou privilégié1 exigence
- Le contrôle lui-même a fonctionné pendant toute la période1 exigence
- Les workloads désignent les images par digest, pas par un tag mobile1 exigence
- Les risques acceptés sont nommés, justifiés et expirent1 exigence
- Un refus ou une vulnérabilité critique parvient à une personne1 exigence
- Un délai de correction est déclaré pour chaque sévérité1 exigence
- Un SBOM est conservé pour les images en service1 exigence
- Les images portant des vulnérabilités graves sont refusées1 exigence
- Les privilèges des workloads sont limités à l'admission1 exigence
Ce que contient le rapport.
Chaque paquet contient les mêmes sections, quel que soit le framework. Les sections signalées sont celles que citent les réponses pour ISO/IEC 27001, avec le nombre d'exigences qui renvoient à chacune.
- Organisation
- Framework mapping
- Cluster
- Control statement4
- Coverage2
- Vulnerability findings
- Outcomes1
- Admission decisions4
- Supply chain3
- Triage decisions1
- Break-glass events1
- Availability1
- Evidence chain4
- Deployment context1
- Issues1
- Ledger
- Population
- Runtime events
- Producer statements (VEX)
Le paragraphe de périmètre, tel que le rapport l'imprime (en anglais).
This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto ISO/IEC 27001:2022 Annex A. Certification is granted to an information security management system, not to a control instrument: this document is evidence an assessor can place against a small number of Annex A controls, chiefly A.8.8 technical vulnerability management, A.8.19 software on operational systems and A.8.28 secure coding's deployment half. The management system clauses and the controls that govern people, physical security and suppliers as organisations are outside the scope of this document and are marked as such.
Sur ISO/IEC 27001
Est-ce une certification selon ISO/IEC 27001 ?
Non. Le paquet est une preuve produite à partir des enregistrements de votre cluster. Ce n'est pas une certification, et aucun auditeur n'est tenu de l'accepter. Le paragraphe de périmètre de cette page est celui que porte le rapport lui-même.
Pourquoi 2 exigences sont-elles hors périmètre ?
Elles portent sur des choses que les enregistrements d'admission et de scan d'un cluster ne peuvent pas montrer. Elles figurent avec la raison au lieu d'être omises, pour que le lecteur du rapport voie que l'exclusion est voulue.
Quel plan inclut ISO/IEC 27001 ?
Tous les plans peuvent produire un rapport selon ce framework. Community et Team incluent un framework au choix, Business trois, Enterprise tous. Les prix sont sur la page des tarifs.
Comment un auditeur vérifie-t-il le paquet ?
Dans un navigateur, sur attestkeep.com/verify.html, où rien n'est envoyé, ou avec le court script du site de documentation. Aucun des deux n'a besoin de nous. La page Pour les auditeurs donne le détail.
Installez-le vous-même.
Créez un compte, confirmez votre e-mail avec le code envoyé, prenez la clé Community gratuite sur la page Licences et installez avec Helm.
Créer un compte