Sécurité · États-Unis (NIST)

NIST SP 800-53 Rev. 5 (sélection de contrôles)

Attestkeep rattache ce que l'admission control et le scan d'images de votre cluster ont enregistré sur une période à 15 exigences (source : NIST SP 800-53 Rev. 5). 15 sont évaluées sur ces enregistrements ; aucune n'est marquée hors périmètre.

Créer un compte Construction d'un paquet

Ce que demande le framework

15 exigences à portée de cluster.

Références et titres tels que le rapport les imprime, c'est-à-dire en anglais. Ouvrez une exigence pour lire ce qu'elle demande, reformulé au plus près du texte de l'instrument.

Security and Privacy Controls for Information Systems

NIST SP 800-53 Rev. 5

Une sélection de contrôles CM, RA, SI, SR, AU et CP

Référence	Exigence	Sections du rapport
CM-2	Baseline configuration Élaborer, documenter et maintenir une configuration de référence à jour du système, sous contrôle de configuration.	Control statementAdmission decisions
CM-3	Configuration change control Déterminer et documenter les types de changements soumis au contrôle de configuration, examiner les changements proposés et en conserver la trace.	Triage decisionsEvidence chain
CM-7	Least functionality Configurer le système pour qu'il n'offre que les capacités essentielles à la mission, et interdire ou restreindre les fonctions, ports, protocoles et services non nécessaires.	Control statementAdmission decisions
CM-14	Signed components Empêcher l'installation de composants logiciels et firmware sans avoir vérifié qu'ils ont été signés numériquement avec un certificat reconnu et approuvé.	Supply chainControl statementAdmission decisions
RA-5	Vulnerability monitoring and scanning Surveiller et scanner les vulnérabilités du système et des applications hébergées, analyser les rapports et corriger les vulnérabilités avérées dans les délais de réponse fixés par l'organisation.	CoverageAdmission decisionsOutcomesControl statementIssues
RA-7	Risk response Répondre aux constats des évaluations de sécurité, de la surveillance et des audits en fonction de la tolérance au risque de l'organisation.	Triage decisionsAdmission decisionsDeployment contextBreak-glass events
SI-2	Flaw remediation Identifier, signaler et corriger les défauts du système, et installer les mises à jour liées à la sécurité dans un délai défini après leur publication.	CoverageControl statementIssues
SI-3	Malicious code protection Mettre en œuvre des mécanismes de protection contre le code malveillant aux points d'entrée et de sortie du système, et les mettre à jour à chaque nouvelle version.	CoverageSupply chainControl statement
SI-7	Software, firmware and information integrity Employer des outils de vérification d'intégrité pour détecter les changements non autorisés des logiciels, du firmware et de l'information.	Supply chainControl statement
SR-3	Supply chain controls and processes Établir un processus pour identifier et traiter les faiblesses ou déficiences des éléments et processus de la chaîne d'approvisionnement.	Control statementCoverage
SR-4	Provenance Documenter, surveiller et maintenir une provenance valide des systèmes, composants et données associées.	Supply chainControl statementOrganisation
SR-11	Component authenticity Élaborer et appliquer une politique et des procédures contre la contrefaçon, et rechercher les composants système contrefaits.	Supply chainControl statement
AU-2	Event logging Identifier les types d'événements que le système peut journaliser, et journaliser ceux que l'organisation juge nécessaires.	Evidence chain
AU-12	Audit record generation Offrir la capacité de générer des enregistrements d'audit pour les types d'événements auditables, et générer des enregistrements au contenu requis.	Evidence chainControl statementAdmission decisions
CP-2 / SI-13	Continuity of the control Planifier la poursuite des fonctions essentielles à la mission, et la disponibilité des mécanismes qui les protègent.	Availability

Ce que produit Attestkeep

Preuves tirées des journaux que tient déjà le cluster.

Rien n'est rempli à la main. La réponse à chaque exigence porte un statut (satisfaite, partielle, écart ou hors périmètre), une note avec les chiffres de la période et les sections du rapport d'où viennent ces chiffres.

Ce sur quoi s'appuie le mapping

Chaque exigence évaluée reçoit sa réponse d'une ou plusieurs de ces affirmations sur les enregistrements de la période. La même affirmation répond à la même question dans tous les frameworks : deux rapports sur une même période ne peuvent pas diverger.

Seules les images de provenance établie peuvent tourner5 exigences
Chaque image de l'inventaire a un enregistrement de scan4 exigences
Chaque décision et chaque action d'administration est enregistrée3 exigences
L'admission refuse les workloads non conformes2 exigences
Les workloads désignent les images par digest, pas par un tag mobile2 exigences
Les risques acceptés sont nommés, justifiés et expirent2 exigences
Les images n'entrent que depuis des registries désignés2 exigences
Un délai de correction est déclaré pour chaque sévérité2 exigences
Les privilèges des workloads sont limités à l'admission2 exigences
Les seuils de vulnérabilité sont plus stricts là où le workload est exposé ou privilégié1 exigence
Le contrôle lui-même a fonctionné pendant toute la période1 exigence
Un refus ou une vulnérabilité critique parvient à une personne1 exigence
L'organisation qui opère le contrôle est identifiée1 exigence
Un SBOM est conservé pour les images en service1 exigence
Les images portant des vulnérabilités graves sont refusées1 exigence

Le paquet

Ce que contient le rapport.

Chaque paquet contient les mêmes sections, quel que soit le framework. Les sections signalées sont celles que citent les réponses pour NIST SP 800-53, avec le nombre d'exigences qui renvoient à chacune.

Plus sur le paquet

Organisation1
Framework mapping
Cluster
Control statement11
Coverage4
Vulnerability findings
Outcomes1
Admission decisions6
Supply chain5
Triage decisions2
Break-glass events1
Availability1
Evidence chain3
Deployment context1
Issues2
Ledger
Population
Runtime events
Producer statements (VEX)

Périmètre

Le paragraphe de périmètre, tel que le rapport l'imprime (en anglais).

This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto a selection of NIST SP 800-53 Rev. 5 controls. The catalogue is far larger than any one instrument can answer; the controls below are those where image scanning and admission enforcement are the operating mechanism — configuration management, risk assessment, system and information integrity, supply chain risk management, and the audit controls the decision record answers. Controls outside that selection are not addressed here and no inference should be drawn about them.

Questions

Sur NIST SP 800-53

Est-ce une certification selon NIST SP 800-53 ?

Non. Le paquet est une preuve produite à partir des enregistrements de votre cluster. Ce n'est pas une certification, et aucun auditeur n'est tenu de l'accepter. Le paragraphe de périmètre de cette page est celui que porte le rapport lui-même.

Certaines des 15 exigences sont-elles hors périmètre ?

Non. Chaque exigence de ce mapping est évaluée à partir des enregistrements de la période, et chacune nomme les sections du rapport d'où vient sa réponse.

Quel plan inclut NIST SP 800-53 ?

Tous les plans peuvent produire un rapport selon ce framework. Community et Team incluent un framework au choix, Business trois, Enterprise tous. Les prix sont sur la page des tarifs.

Comment un auditeur vérifie-t-il le paquet ?

Dans un navigateur, sur attestkeep.com/verify.html, où rien n'est envoyé, ou avec le court script du site de documentation. Aucun des deux n'a besoin de nous. La page Pour les auditeurs donne le détail.

Installez-le vous-même.

Créez un compte, confirmez votre e-mail avec le code envoyé, prenez la clé Community gratuite sur la page Licences et installez avec Helm.

Créer un compte