Control Criteria of ISMAP (Ağustos 2024)

Bu kontrolün envanterde ayrıca belirtilmesini istediği varlıklar müşterinin verisi ve hizmetin ondan türettiği veridir; bu cluster'ın tuttuğu envanter ise çalışan image'ları ve bunların neyden oluştuğunu içerir, yani işlenen veriyi değil yazılımı; bir veri tanımlama kontrolünü yazılım envanteriyle cevaplamak, bu paketin reddetmek için var olduğu abartı olurdu.

Sahiplik, bir varlıktan sorumlu tutulan adı belli bir kişi ya da ekiptir ve sağlayıcının kendi varlık kaydında tutulur; bir cluster hangi image'ların çalıştığını ve içlerinde ne olduğunu kaydeder, bu kayıtların hiçbiri kimin sorumlu olduğunu söylemez.

Bu kontrolün istediği politika, sağlayıcının bilgisine ve bilgi işleme olanaklarına kimin ulaşabileceğini düzenler ve sağlayıcının kendi yönetişiminde yazılıp gözden geçirilir; bu cluster'ın uyguladığı policy hangi image'ların çalışabileceğine karar verir; İngilizcede aynı kelimeyle anılan başka bir konudur.

Bu kontrol, sağlayıcının kendi hizmeti hakkında kendi müşterilerine yaptığı bir bildirimdir; bir cluster kabul ettiği değişiklikleri ve hangi policy altında kabul ettiğini kaydeder, kimseye haber verilip verilmediğini bu kayıtlar söylemez.

Bu kontrol, sağlayıcının kendi müşterilerine hizmeti kullanımlarıyla ilgili log'ları alabilecekleri bir yol vermesini ister; bu kontrolün tuttuğu log ise sağlayıcının cluster'ına aittir ve sağlayıcı tarafından okunur, yani kontrolün gösterdiği yönün tersidir.

Bir zafiyeti izlemek, değerlendirmek ve gidermekten kimin sorumlu olduğu, sağlayıcının yaptığı ve kendi yönetişiminde kaydettiği bir görevlendirmedir; bir cluster işin yapıldığını gösterir, kimin yapması gerektiğini asla göstermez.

Bu kurallar geliştirme organizasyonunun içinde konur ve yazılım yazılırken uygulanır; bu cluster sonucu build edilmiş bir image olarak karşılar ve içinde ne olduğunu ve kimin imzaladığını söyleyebilir, onu yapanların hangi kurala göre çalıştığını değil.

Sağlayıcının yazılımı nasıl geliştirdiği hakkında ne yayımladığı ve bildirim politikasının neyi sakladığı bu cluster'ın dışında verilen kararlardır ve içinde hiçbir yerde kaydedilmez.

Bu kontrolün düzenlediği değişiklikler geliştirme yaşam döngüsünün içinde, henüz hiçbir şey build edilmeden yapılır; bu cluster'ın tuttuğu değişiklik kaydı çalışan bir sisteme gelen image'larla ilgilidir ve bu kriterlerin istediği yerde, 12.1.2 altında raporlanır.

Bu kontrol, bir sistemin içine konulan güvenlik işlevlerini sistem geliştirilirken test eder; bitmiş bir image'ı taramak, bileşenlerinin hangi bilinen zafiyetleri taşıdığını ölçer; bu, başka bir şeyin başka bir ölçümüdür ve onun yerine geçmez.

Bu kontrol bir tedarikçiyle varılan ve yazıya geçirilen bir anlaşmadır; bir cluster tedarikçinin gönderdiği yazılımı görür, hangi koşullarla gönderdiğini değil.

Bu kontrol müşterinin verisine hangi hukukun uzanabileceği ve bunu hangi sözleşmenin belirttiğiyle ilgilidir; cevabı sağlayıcının yükleniciler ve sözleşmeleri hakkındaki hukuki değerlendirmesidir ve bir admission kararı ikisini de görmez.

Bu belge böyle bir gözden geçirmenin okuduğu kanıttır, gözden geçirmenin kendisi değil; kontrolün istediği bağımsızlık onu kimin yaptığına bağlıdır ve bir kontrol kendini gözden geçiremez. ISMAP kapsamında gözden geçirmeyi, kayıtlı değerlendirici listesindeki bir değerlendirici, sağlayıcının belirttiği değerlendirme dönemi için yapar.

Ek tablo 1'in tamamı bir yönetim organının yaptıklarıdır: güvenlik hedeflerinin işle uyumunu değerlendirmek, yöneticileri yönlendirmek, raporladıklarını izlemek, paydaşlarla iletişim kurmak ve güvence çalışması istemek. Bunların hiçbiri bir cluster'ın özelliği değildir; sağlayıcı bunları kendi yönetim kurulu kayıtlarından ortaya koyar.

Ek tablo 2 yönetim sisteminin kendisidir: kapsam, politika, risk değerlendirmesi ve işlenmesi, yetkinlik, belgelenmiş bilgi, iç değerlendirme, yönetimin gözden geçirmesi, düzeltici faaliyet ve Bölüm 4.9'un eklediği bulut hizmet müşterileriyle risk iletişimi. Sağlayıcının sistemi işletmesine dair kendi kayıtlarına göre değerlendirilir; bir cluster onun yönettiği şeylerden biridir, parçası değildir.

İşe alım öncesi tarama, sözleşme hükümleri, farkındalık eğitimi, disiplin süreci ve ayrılıktan sonra da süren sorumlulukların hepsi insanlarla ilgili ifadelerdir; bir image üzerine verilen admission kararı bunların hiçbirini gözlemlemez.

Çevre güvenliği, giriş kontrolleri, kablolama, ekipman yerleşimi ve güvenli imha, sağlayıcının işlettiği ya da hizmet aldığı veri merkezlerinin özellikleridir; bir cluster içindeki webhook çalıştığı binanın hiçbir yerini görmez.

Ağ ayrımı, ağ hizmeti anlaşmaları ve sanal ağ ile altındaki fiziksel ağ arasındaki tutarlılık, ağda ve node'ların altındaki platformda yapılandırılır; bu kontrol hangi image'ların çalışabileceğine karar verir ve hiçbir paketi görmez.