EU Cyber Resilience Act ve NIS2
Attestkeep, cluster'ınızda admission control ve image taramasının bir dönemde kaydettiklerini 34 maddeye eşler. Kaynak: (AB) 2024/2847 sayılı Tüzük ve (AB) 2022/2555 sayılı Direktif. Bunlardan 26 tanesi bu kayıtlardan değerlendirilir; 8 tanesi kapsam dışı işaretlenir, her biri gerekçesiyle.
Cluster'ın cevap verebildiği 26 madde.
Madde numaraları ve başlıklar raporda basıldığı gibi, yani İngilizce. Bir maddeyi açtığınızda ne istediğini, kaynağın kendi ifadesine yakın bir dille okursunuz.
Cyber Resilience Act
(AB) 2024/2847 sayılı Tüzük
Ek I Bölüm I (temel siber güvenlik gereklilikleri) ve Bölüm II (zafiyet yönetimi gereklilikleri)
NIS2 Directive
(AB) 2022/2555 sayılı Direktif
Madde 21(2), siber güvenlik risk yönetimi önlemleri
| Madde | Başlık | Rapor bölümleri |
|---|---|---|
| Annex I, Part I (1) | Appropriate level of cybersecurity based on the risksÜrünler, risklere göre uygun bir siber güvenlik düzeyi sağlayacak şekilde tasarlanır, geliştirilir ve üretilir. | Control statementAdmission decisions |
| Annex I, Part I (2) | Made available without known exploitable vulnerabilitiesDijital unsurlu ürünler, bilinen ve istismar edilebilir zafiyetler olmadan piyasaya sunulur. | CoverageAdmission decisionsOutcomes |
| Annex I, Part I (3)(a) | Secure by default configurationÜrünler, varsayılan olarak güvenli bir yapılandırmayla ve ürünü ilk durumuna döndürme imkânıyla sunulur. | Control statementAdmission decisions |
| Annex I, Part I (3)(b) | Vulnerabilities can be addressed through security updatesÜrünler, zafiyetlerin güvenlik güncellemeleriyle, uygun olduğunda otomatik güncellemelerle de giderilebilmesini sağlar. | Control statementCoverage |
| Annex I, Part I (3)(c) | Protection from unauthorised accessÜrünler, kimlik doğrulama, kimlik ve erişim yönetimi sistemleri dahil uygun kontrol mekanizmalarıyla yetkisiz erişime karşı koruma sağlar. | Control statementEvidence chain |
| Annex I, Part I (3)(d) | Confidentiality of stored, transmitted or processed dataÜrünler, saklanan, iletilen ya da başka biçimde işlenen kişisel veya diğer verilerin gizliliğini korur; örneğin ilgili verileri bekleme ve aktarım sırasında güncel tekniklerle şifreler. | Control statement |
| Annex I, Part I (3)(e) | Integrity of data, commands, programs and configurationÜrünler, saklanan, iletilen ya da işlenen verilerin, komutların, programların ve yapılandırmanın bütünlüğünü kullanıcının yetkilendirmediği her türlü değişikliğe karşı korur ve bozulmaları bildirir. | Supply chain |
| Annex I, Part I (3)(g) | Availability of essential and basic functionsÜrünler, temel ve asli işlevlerin kullanılabilirliğini bir olaydan sonra da korur; hizmet engelleme saldırılarına karşı dayanıklılık ve azaltma önlemleri de buna dahildir. | Availability |
| Annex I, Part I (3)(h) | Minimise negative impact on other devices or networksÜrünler, başka cihazların ya da ağların sunduğu hizmetlerin kullanılabilirliği üzerindeki kendi olumsuz etkilerini en aza indirir. | Control statement |
| Annex I, Part I (3)(i) | Limit attack surfacesÜrünler, dış arayüzler dahil saldırı yüzeylerini sınırlayacak şekilde tasarlanır, geliştirilir ve üretilir. | Control statement |
| Annex I, Part I (3)(j) | Reduce the impact of an incidentÜrünler, uygun istismar azaltma mekanizma ve teknikleriyle bir olayın etkisini azaltacak şekilde tasarlanır, geliştirilir ve üretilir. | Control statement |
| Annex I, Part I (3)(k) | Security-related information by recording and monitoringÜrünler, verilere, hizmetlere ya da işlevlere erişim ve bunların değiştirilmesi dahil ilgili iç etkinliği kaydedip izleyerek güvenlikle ilgili bilgi sağlar. | Evidence chainAdmission decisions |
| Annex I, Part II (1) | Identify and document vulnerabilities and components (SBOM)Üreticiler, üründeki zafiyetleri ve bileşenleri belirler ve belgeler; buna en azından ürünün üst düzey bağımlılıklarını kapsayan, yaygın ve makinece okunabilir bir biçimde SBOM hazırlamak da dahildir. | CoverageSupply chain |
| Annex I, Part II (2) | Address and remediate vulnerabilities without delayÜreticiler zafiyetleri gecikmeden ele alır ve giderir, buna güvenlik güncellemesi sağlamak da dahildir; teknik olarak mümkünse yeni güvenlik güncellemeleri işlev güncellemelerinden ayrı sunulur. | Control statementTriage decisions |
| Annex I, Part II (3) | Effective and regular tests and reviewsÜreticiler, dijital unsurlu ürünün güvenliğine etkili ve düzenli testler ve incelemeler uygular. | Coverage |
| Annex I, Part II (5) | Coordinated vulnerability disclosure policyÜreticiler, koordineli zafiyet bildirimi için bir politika oluşturur ve uygular. | Organisation |
| Annex I, Part II (6) | Facilitate sharing of information about potential vulnerabilitiesÜreticiler, ürünlerindeki ve ürünün içerdiği üçüncü taraf bileşenlerdeki olası zafiyetlerle ilgili bilgi paylaşımını kolaylaştıracak önlemler alır; bir iletişim adresi vermek de buna dahildir. | Organisation |
| Annex I, Part II (7) | Secure distribution of updatesÜreticiler, zafiyetlerin zamanında giderilmesi ya da azaltılması için güncellemelerin güvenli dağıtımını sağlayan mekanizmalar kurar. | Control statement |
| Article 21(2)(a) | Policies on risk analysis and information system securityÖnlemler, risk analizi ve bilgi sistemleri güvenliği politikalarını içerir. | Control statement |
| Article 21(2)(b) | Incident handlingÖnlemler, olay yönetimini içerir. | Admission decisionsBreak-glass events |
| Article 21(2)(d) | Supply chain securityÖnlemler, her kuruluşla doğrudan tedarikçileri ya da hizmet sağlayıcıları arasındaki ilişkilerin güvenlik yönleri dahil tedarik zinciri güvenliğini içerir. | Supply chainControl statement |
| Article 21(2)(e) | Security in acquisition, development and maintenance, including vulnerability handlingÖnlemler, ağ ve bilgi sistemlerinin edinilmesi, geliştirilmesi ve bakımında güvenliği, zafiyet yönetimi ve bildirimi dahil, içerir. | CoverageAdmission decisionsTriage decisions |
| Article 21(2)(f) | Assessing the effectiveness of the measuresÖnlemler, siber güvenlik risk yönetimi önlemlerinin etkinliğini değerlendirecek politika ve prosedürleri içerir. | Admission decisionsAvailability |
| Article 21(2)(h) | Policies on the use of cryptography and encryptionÖnlemler, kriptografi ve uygun olduğunda şifreleme kullanımına ilişkin politika ve prosedürleri içerir. | Supply chainControl statement |
| Article 21(2)(i) | Human resources security, access control policies and asset managementÖnlemler, insan kaynakları güvenliğini, erişim kontrol politikalarını ve varlık yönetimini içerir. | OutcomesEvidence chain |
| Article 21(2)(j) | Multi-factor authentication and secured communicationsÖnlemler, kuruluş içinde çok faktörlü ya da sürekli kimlik doğrulama çözümlerinin, güvenli ses, görüntü ve metin iletişiminin ve güvenli acil durum iletişim sistemlerinin kullanımını içerir. | Evidence chain |
Kapsam dışı işaretlenen 8 madde ve nedenleri
| Madde | Madde ve gerekçe |
|---|---|
| Annex I, Part I (3)(f) | Data minimisation Bir workload'ın hangi verileri işlediği o workload'ın koduna bağlıdır ve admission control bu kodu okumaz. Bu operator'ün kendi işlemesine gelince: sorgu ifadeleri izleme için kaydedilir, argümanları asla kaydedilmez; image layer içeriği saklanmaz. |
| Annex I, Part I (3)(l) | Secure and permanent removal of data and settings Bir workload'daki verilerin saklanması ve silinmesi o workload'a ve depolamasına aittir; admission control oraya erişmez. |
| Annex I, Part II (4) | Publicly disclose information about fixed vulnerabilities Yayımlamak üreticinin release sürecindeki bir adımdır. Burada kaydedilen image başına bulgu geçmişi, bir duyuru notunun yazılacağı malzemedir; duyurunun kendisi değildir. |
| Annex I, Part II (8) | Disseminate security patches without delay Dağıtmak üreticinin release sürecindeki bir adımdır. Bu cluster, düzeltilmiş image'ın ne zaman geldiğini kaydeder; ne zaman yayımlandığını değil. |
| Article 14 | Reporting actively exploited vulnerabilities and severe incidents Bir CSIRT'e ve ENISA'ya bildirim, yasal süresi olan kurumsal bir işlemdir. Bu belgenin sağladığı, sürenin başladığı andır: her bulgu, Evidence chain bölümünde bu cluster'ın onu ilk öğrendiği zamanı taşır. |
| Article 21(2)(c) | Business continuity, backup management and crisis management Yedekleme, kurtarma ve kriz yönetimi platformun ve kurumun programlarıdır. Bu belgenin Availability bölümü yalnızca bu kontrolün kendi kullanılabilirliğini kaydeder; bu, önlemin kendisi değil, girdilerinden biridir. |
| Article 21(2)(g) | Basic cyber hygiene practices and cybersecurity training Eğitim ve farkındalık kurumun programlarıdır; cluster'daki hiçbir kontrol onları gözlemlemez. |
| Article 23 | Incident reporting to the CSIRT or competent authority Ulusal bir CSIRT'e bildirim, yasal süresi olan kurumsal bir işlemdir. Bu belgenin sağladığı, her sürenin ölçüldüğü farkına varma anıdır: her ret, her bulgu ve her break-glass etkinleştirmesi Evidence chain bölümünde kendi zaman damgasını taşır. |
Cluster'ın zaten tuttuğu kayıtlardan kanıt.
Hiçbir şey elle doldurulmaz. Her maddenin cevabında bir durum (karşılanıyor, kısmen, eksik ya da kapsam dışı), dönemin kendi rakamlarını veren bir not ve bu rakamların geldiği rapor bölümleri yer alır.
Her EU CRA ve NIS2 maddesi, o madde için yazılmış ayrı bir kuralla ve aşağıdaki rapor bölümlerine göre değerlendirilir.
Raporda neler var.
Framework hangisi olursa olsun her pakette aynı bölümler bulunur. İşaretli olanlar EU CRA ve NIS2 cevaplarının dayandığı bölümlerdir; her birinin yanında ona dayanan madde sayısı yazar.
- Organisation2
- Framework mapping
- Cluster
- Control statement13
- Coverage5
- Vulnerability findings
- Outcomes2
- Admission decisions7
- Supply chain4
- Triage decisions2
- Break-glass events1
- Availability2
- Evidence chain4
- Deployment context
- Issues
- Ledger
- Population
- Runtime events
- Producer statements (VEX)
Kapsam paragrafı, raporda yazıldığı gibi.
This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto two instruments that bind different subjects. NIS2 Article 21(2) binds the entity, and these records are evidence for the subset of its measures that concern container workloads. The Cyber Resilience Act binds the manufacturer of a product with digital elements; the mapping below is usable where the container images covered here are that product or part of it, and is not usable as a statement about products this cluster merely runs. Neither mapping is a conformity assessment. No clause is marked met because a feature exists — only because the period's own records show the control operating. Clauses marked outside_scope are duties no cluster control can discharge; they are listed rather than omitted so the reader can see exactly where this document stops.
EU CRA ve NIS2 hakkında
Bu bir EU CRA ve NIS2 sertifikası mı?
Hayır. Paket, cluster'ınızın kendi kayıtlarından üretilmiş bir kanıttır. Sertifika değildir ve hiçbir denetçi onu kabul etmek zorunda değildir. Bu sayfadaki kapsam paragrafı, raporun kendisinde yer alan paragrafın aynısıdır.
Maddelerin 8 tanesi neden kapsam dışı?
Bu maddeler, tek bir cluster'ın admission ve tarama kayıtlarının gösteremeyeceği şeyleri soruyor. Rapordan çıkarılmaz, gerekçesiyle listelenir; böylece raporu okuyan kişi bu maddelerin bilerek dışarıda bırakıldığını görür.
EU CRA ve NIS2 hangi planda var?
Her plan bu framework'e göre rapor üretebilir. Community ve Team'de seçtiğiniz bir framework, Business'ta üç, Enterprise'da hepsi bulunur. Fiyatlar fiyat sayfasında.
Denetçi paketi nasıl kontrol eder?
Tarayıcıda, hiçbir şey yüklemeden attestkeep.com/verify.html adresinde ya da dokümantasyon sitesindeki kısa script ile. İkisi de bize ihtiyaç duymaz. Ayrıntılar Denetçiler için sayfasında.
Kendiniz kurun.
Hesap oluşturun, gönderdiğimiz kodla e-postanızı doğrulayın, Licences sayfasından ücretsiz Community anahtarını alın ve Helm ile kurun.
Hesap oluştur