DORA (Digital Operational Resilience Act)
Attestkeep, cluster'ınızda admission control ve image taramasının bir dönemde kaydettiklerini 22 maddeye eşler. Kaynak: (AB) 2022/2554 sayılı Tüzük. Bunlardan 15 tanesi bu kayıtlardan değerlendirilir; 7 tanesi kapsam dışı işaretlenir, her biri gerekçesiyle.
Cluster'ın cevap verebildiği 15 madde.
Madde numaraları ve başlıklar raporda basıldığı gibi, yani İngilizce. Bir maddeyi açtığınızda ne istediğini, kaynağın kendi ifadesine yakın bir dille okursunuz.
Digital Operational Resilience Act
(AB) 2022/2554 sayılı Tüzük
Bölüm II Madde 8 ila 11 (BİT risk yönetimi: tanımlama, koruma ve önleme, tespit, müdahale) ve Bölüm V Madde 28 (BİT üçüncü taraf riski)
| Madde | Başlık | Rapor bölümleri |
|---|---|---|
| Article 8(1) | Identify, classify and document ICT assetsFinansal kuruluşlar, BİT destekli tüm iş fonksiyonlarını, rolleri ve sorumlulukları, bu fonksiyonları destekleyen bilgi ve BİT varlıklarını belirler, sınıflandırır ve yeterli biçimde belgeler; bu sınıflandırmanın yeterliliğini her yıl gözden geçirir. | CoverageControl statement |
| Article 8(6) | Maintain and update inventoriesFinansal kuruluşlar ilgili envanterleri tutar; bunları düzenli aralıklarla ve her büyük değişiklikte günceller. | Coverage |
| Article 8(5) | Identify processes dependent on third-party providersFinansal kuruluşlar, BİT üçüncü taraf hizmet sağlayıcılarına bağlı tüm süreçleri belirler ve belgeler. | Control statementSupply chain |
| Article 9(2) | Availability, authenticity, integrity and confidentiality of dataFinansal kuruluşlar, BİT sistemlerinin dayanıklılığını, sürekliliğini ve kullanılabilirliğini sağlamayı ve verilerin bekleme, kullanım ve aktarım sırasında kullanılabilirlik, özgünlük, bütünlük ve gizlilik açısından yüksek standartlarını korumayı amaçlayan BİT güvenlik politikaları, prosedürleri, protokolleri ve araçları tasarlar, temin eder ve uygular. | Supply chainControl statement |
| Article 9(3)(b) | Minimise the risk of technical flawsFinansal kuruluşlar, iş faaliyetini aksatabilecek veri bozulması ya da kaybı, yetkisiz erişim ve teknik kusur riskini en aza indirir. | CoverageAdmission decisionsOutcomes |
| Article 9(4)(c) | Limit logical access to what legitimate functions requireFinansal kuruluşlar, bilgi ve BİT varlıklarına fiziksel ya da mantıksal erişimi yalnızca meşru ve onaylı fonksiyonların ve faaliyetlerin gerektirdiğiyle sınırlayan politikalar uygular. | Control statementAdmission decisions |
| Article 9(4)(d) | Strong authentication mechanismsFinansal kuruluşlar, ilgili standartlara ve özel kontrol sistemlerine dayanan güçlü kimlik doğrulama mekanizmaları için politika ve protokoller uygular. | Evidence chain |
| Article 9(4)(e) | ICT change managementFinansal kuruluşlar, BİT değişiklik yönetimi için belgelenmiş politika, prosedür ve kontrollere sahiptir; böylece tüm değişiklikler kontrollü biçimde kaydedilir, test edilir, değerlendirilir, onaylanır, uygulanır ve doğrulanır. | Control statementAdmission decisionsEvidence chain |
| Article 9(4)(f) | Patches and updatesFinansal kuruluşlar, yamalar ve güncellemeler için uygun ve kapsamlı belgelenmiş politikalara sahiptir. | Control statementCoverageAdmission decisionsOutcomesIssues |
| Article 10(1) | Promptly detect anomalous activities and single points of failureFinansal kuruluşlar, BİT ağ performansı sorunları ve BİT kaynaklı olaylar dahil olağan dışı etkinlikleri hızla tespit edecek ve önemli olası tek hata noktalarını belirleyecek mekanizmalara sahiptir. Tüm tespit mekanizmaları düzenli olarak test edilir. | CoverageAvailability |
| Article 10(2) | Alert thresholds and criteria to trigger responseTespit mekanizmaları birden çok kontrol katmanına imkân verir; ilgili personele otomatik uyarılar dahil, BİT kaynaklı olay müdahale süreçlerini başlatacak uyarı eşiklerini ve ölçütleri tanımlar. | Admission decisionsCoverageOutcomesBreak-glass events |
| Article 10(3) | Resources to monitor activity and anomaliesFinansal kuruluşlar, kullanıcı etkinliğini, BİT anormalliklerinin ve BİT kaynaklı olayların, özellikle siber saldırıların ortaya çıkışını izlemek için yeterli kaynak ve yetkinlik ayırır. | Evidence chainAdmission decisionsBreak-glass events |
| Article 11(1) | ICT business continuity policyFinansal kuruluşlar, kritik ya da önemli fonksiyonların sürekliliğini sağlamak için operasyonel iş sürekliliği politikalarının ayrılmaz bir parçası olarak kapsamlı bir BİT iş sürekliliği politikası oluşturur. | Availability |
| Article 28(4) | Due diligence before entering a third-party arrangementFinansal kuruluşlar, BİT hizmetlerinin kullanımına ilişkin bir sözleşme yapmadan önce ilgili tüm riskleri belirler ve değerlendirir, aday BİT üçüncü taraf hizmet sağlayıcıları hakkında gereken tüm özeni gösterir. | Supply chainControl statement |
| Article 28(5) | Providers shall meet appropriate information security standardsFinansal kuruluşlar, yalnızca uygun bilgi güvenliği standartlarına uyan BİT üçüncü taraf hizmet sağlayıcılarıyla sözleşme yapabilir; bu hizmetler kritik ya da önemli fonksiyonları destekliyorsa en güncel ve en yüksek kalite standartları uygulanır. | Supply chainControl statementCoverageAdmission decisionsOutcomes |
Kapsam dışı işaretlenen 7 madde ve nedenleri
| Madde | Madde ve gerekçe |
|---|---|
| Article 5 | Governance and organisation Yönetim organının onayı, gözetimi ve hesap verebilirliği kuruluşun kayıtlarıdır, bir cluster'ın değil. Kontrol beyanında yer alan enforcement ayarları bu yönetişimin bir çıktısıdır, kanıtı değildir. |
| Article 6 | ICT risk management framework Framework, kuruluşun tuttuğu ve gözden geçirdiği bir belgedir. Bu kontrol onun içinde çalışır ve bazı bölümleri için kanıt üretir; framework'ün kendisi değildir. |
| Article 12 | Backup, restoration and recovery Kuruluşun sistem ve verilerinin yedeklenmesi ve geri yüklenmesi, bir admission controller'ın kaydettiklerinin dışındadır. Operator'ün kendi veritabanını yedeklemek müşterinin işidir. |
| Article 13 | Learning and evolving Olay sonrası değerlendirme insanların yürüttüğü bir uygulamadır. Bu belgedeki retler, istisnalar ve kesinti aralıkları böyle bir değerlendirmenin girdileridir, değerlendirmenin kendisi değil. |
| Articles 17 – 23 | ICT-related incident management, classification and reporting DORA eşiklerine göre sınıflandırma ve yetkili makama bildirim, kuruluşun verdiği kararlar ve yaptığı bildirimlerdir. Bu kontrol olayları üretir ve kaydeder; sınıflandırmaz, bildirmez. |
| Articles 24 – 27 | Digital operational resilience testing Tehdit odaklı sızma testleri dahil kuruluşun test programı, test uzmanlarınca kuruluşun sistemlerine karşı yürütülür. Bir cluster'ın kaydettiği hiçbir şey bunun yapıldığını kanıtlamaz. |
| Article 28(3) | Register of information on contractual arrangements Bilgi kaydı, kuruluşun tuttuğu sözleşmeye dayalı bir kayıttır. Bu belgedeki image envanteri neyin çalıştığını kaydeder, neyin sözleşmeye bağlandığını değil. |
Cluster'ın zaten tuttuğu kayıtlardan kanıt.
Hiçbir şey elle doldurulmaz. Her maddenin cevabında bir durum (karşılanıyor, kısmen, eksik ya da kapsam dışı), dönemin kendi rakamlarını veren bir not ve bu rakamların geldiği rapor bölümleri yer alır.
Eşlemenin dayandığı beyanlar
Değerlendirilen her madde, dönemin kayıtlarıyla ilgili bu beyanlardan bir ya da birkaçıyla cevaplanır. Aynı soruyu her framework'te aynı beyan cevaplar; bu yüzden aynı döneme ait iki rapor birbiriyle çelişemez.
- Envanterdeki her image'ın bir tarama kaydı vardır4 madde
- Ağır bulgu taşıyan image'lar reddedilir4 madde
- Yalnızca kaynağı kanıtlanmış image'lar çalışabilir3 madde
- Image'lar yalnız adı belirtilen registry'lerden girebilir3 madde
- Her karar ve her yönetim işlemi kaydedilir2 madde
- Kontrolün kendisi dönem boyunca çalıştı2 madde
- Workload'lar image'ı değişebilen bir tag ile değil, digest ile belirtir2 madde
- Bir ret ya da kritik bir bulgu bir insana ulaşır2 madde
- Kullanımdaki image'lar için SBOM tutulur2 madde
- Yönetici erişimi bir dizine bağlıdır1 madde
- Admission uyumsuz workload'ları reddeder1 madde
- Her önem derecesi için bir giderme süresi tanımlıdır1 madde
- Workload yetkileri admission sırasında sınırlanır1 madde
Raporda neler var.
Framework hangisi olursa olsun her pakette aynı bölümler bulunur. İşaretli olanlar DORA cevaplarının dayandığı bölümlerdir; her birinin yanında ona dayanan madde sayısı yazar.
- Organisation
- Framework mapping
- Cluster
- Control statement8
- Coverage7
- Vulnerability findings
- Outcomes4
- Admission decisions7
- Supply chain4
- Triage decisions
- Break-glass events2
- Availability2
- Evidence chain3
- Deployment context
- Issues1
- Ledger
- Population
- Runtime events
- Producer statements (VEX)
Kapsam paragrafı, raporda yazıldığı gibi.
This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto the Digital Operational Resilience Act. DORA governs a financial entity's entire ICT risk management framework, of which a container image control is one instrument: it speaks to identification of ICT assets, to protection, prevention and detection under Articles 8 to 11, and to the point in Article 28 where third-party code enters the estate. Governance, testing, backup and the incident reporting owed to competent authorities are the entity's own and are marked outside the scope of this document rather than claimed.
DORA hakkında
Bu bir DORA sertifikası mı?
Hayır. Paket, cluster'ınızın kendi kayıtlarından üretilmiş bir kanıttır. Sertifika değildir ve hiçbir denetçi onu kabul etmek zorunda değildir. Bu sayfadaki kapsam paragrafı, raporun kendisinde yer alan paragrafın aynısıdır.
Maddelerin 7 tanesi neden kapsam dışı?
Bu maddeler, tek bir cluster'ın admission ve tarama kayıtlarının gösteremeyeceği şeyleri soruyor. Rapordan çıkarılmaz, gerekçesiyle listelenir; böylece raporu okuyan kişi bu maddelerin bilerek dışarıda bırakıldığını görür.
DORA hangi planda var?
Her plan bu framework'e göre rapor üretebilir. Community ve Team'de seçtiğiniz bir framework, Business'ta üç, Enterprise'da hepsi bulunur. Fiyatlar fiyat sayfasında.
Denetçi paketi nasıl kontrol eder?
Tarayıcıda, hiçbir şey yüklemeden attestkeep.com/verify.html adresinde ya da dokümantasyon sitesindeki kısa script ile. İkisi de bize ihtiyaç duymaz. Ayrıntılar Denetçiler için sayfasında.
Kendiniz kurun.
Hesap oluşturun, gönderdiğimiz kodla e-postanızı doğrulayın, Licences sayfasından ücretsiz Community anahtarını alın ve Helm ile kurun.
Hesap oluştur