Attestkeep
Dil: Türkçe
Kayıt ol
Güvenlik · Uluslararası (ISO/IEC)

ISO/IEC 27001:2022 (Ek A)

Attestkeep, cluster'ınızda admission control ve image taramasının bir dönemde kaydettiklerini 12 maddeye eşler. Kaynak: ISO/IEC 27001:2022. Bunlardan 10 tanesi bu kayıtlardan değerlendirilir; 2 tanesi kapsam dışı işaretlenir, her biri gerekçesiyle.

Hesap oluşturBir paket nasıl hazırlanır
Framework ne istiyor

Cluster'ın cevap verebildiği 10 madde.

Madde numaraları ve başlıklar raporda basıldığı gibi, yani İngilizce. Bir maddeyi açtığınızda ne istediğini, kaynağın kendi ifadesine yakın bir dille okursunuz.

Information security management systems — Requirements

ISO/IEC 27001:2022

Ek A kontrolleri 5.15, 5.23, 5.25, 5.30, 8.8, 8.9, 8.15, 8.19, 8.28 ve 8.32

MaddeBaşlıkRapor bölümleri
Annex A 5.15
Access control

Bilgiye ve ilişkili diğer varlıklara fiziksel ve mantıksal erişimi kontrol eden kurallar, iş ve bilgi güvenliği gerekliliklerine göre belirlenir ve uygulanır.

Evidence chain
Annex A 5.23
Information security for use of cloud services

Bulut hizmetlerinin edinilmesi, kullanılması, yönetilmesi ve bırakılması için süreçler, kuruluşun bilgi güvenliği gerekliliklerine uygun olarak belirlenir.

Control statementSupply chain
Annex A 5.25
Assessment and decision on information security events

Kuruluş bilgi güvenliği olaylarını değerlendirir ve bilgi güvenliği ihlal olayı olarak sınıflandırılıp sınıflandırılmayacaklarına karar verir.

Admission decisionsEvidence chainBreak-glass events
Annex A 8.8
Management of technical vulnerabilities

Kullanımdaki bilgi sistemlerinin teknik zafiyetleri hakkında bilgi edinilir, kuruluşun bu zafiyetlere açıklığı değerlendirilir ve uygun önlemler alınır.

CoverageAdmission decisionsOutcomesControl statementDeployment contextIssues
Annex A 8.9
Configuration management

Donanım, yazılım, hizmet ve ağların güvenlik yapılandırmaları dahil yapılandırmaları belirlenir, belgelenir, uygulanır, izlenir ve gözden geçirilir.

Control statementAdmission decisions
Annex A 8.15
Logging

Etkinlikleri, istisnaları, hataları ve diğer ilgili olayları kaydeden log'lar üretilir, saklanır, korunur ve analiz edilir.

Evidence chain
Annex A 8.19
Installation of software on operational systems

İşletimdeki sistemlere yazılım kurulumunu güvenli biçimde yönetmek için prosedür ve önlemler uygulanır.

Control statementAdmission decisionsSupply chain
Annex A 8.28
Secure coding

Yazılım geliştirmede, üçüncü taraf bileşenlerin güvenli edinimi ve kullanımı dahil güvenli kodlama ilkeleri uygulanır.

Supply chainCoverage
Annex A 8.32
Change management

Bilgi işleme olanaklarında ve bilgi sistemlerinde yapılan değişiklikler değişiklik yönetimi prosedürlerine tabidir.

Triage decisionsEvidence chain
Annex A 5.30
ICT readiness for business continuity

BİT hazırlığı, iş sürekliliği hedeflerine ve BİT sürekliliği gerekliliklerine göre planlanır, uygulanır, sürdürülür ve test edilir.

Availability
Kapsam dışı işaretlenen 2 madde ve nedenleri
MaddeMadde ve gerekçe
Clauses 4 to 10The management system itself

Sertifikasyon kuruluşun yönetim sistemine göre değerlendirilir; bir kontrol aracı onun için kanıt üretir, onun yerine geçemez.

Annex A 6 and 7People and physical controls

Bu kontrol gruplarındaki hiçbir şey bir cluster'dan gözlemlenemez; bu belgede bulunmadıklarının bilinçli olduğu görülsün diye listelenirler.

Attestkeep ne üretir

Cluster'ın zaten tuttuğu kayıtlardan kanıt.

Hiçbir şey elle doldurulmaz. Her maddenin cevabında bir durum (karşılanıyor, kısmen, eksik ya da kapsam dışı), dönemin kendi rakamlarını veren bir not ve bu rakamların geldiği rapor bölümleri yer alır.

Eşlemenin dayandığı beyanlar

Değerlendirilen her madde, dönemin kayıtlarıyla ilgili bu beyanlardan bir ya da birkaçıyla cevaplanır. Aynı soruyu her framework'te aynı beyan cevaplar; bu yüzden aynı döneme ait iki rapor birbiriyle çelişemez.

  • Her karar ve her yönetim işlemi kaydedilir4 madde
  • Yalnızca kaynağı kanıtlanmış image'lar çalışabilir2 madde
  • Image'lar yalnız adı belirtilen registry'lerden girebilir2 madde
  • Envanterdeki her image'ın bir tarama kaydı vardır2 madde
  • Yönetici erişimi bir dizine bağlıdır1 madde
  • Admission uyumsuz workload'ları reddeder1 madde
  • Workload dışarıya açık ya da privileged olduğunda zafiyet eşikleri daha sıkıdır1 madde
  • Kontrolün kendisi dönem boyunca çalıştı1 madde
  • Workload'lar image'ı değişebilen bir tag ile değil, digest ile belirtir1 madde
  • Kabul edilen risklerin adı, gerekçesi ve süresi var1 madde
  • Bir ret ya da kritik bir bulgu bir insana ulaşır1 madde
  • Her önem derecesi için bir giderme süresi tanımlıdır1 madde
  • Kullanımdaki image'lar için SBOM tutulur1 madde
  • Ağır bulgu taşıyan image'lar reddedilir1 madde
  • Workload yetkileri admission sırasında sınırlanır1 madde
Paket

Raporda neler var.

Framework hangisi olursa olsun her pakette aynı bölümler bulunur. İşaretli olanlar ISO/IEC 27001 cevaplarının dayandığı bölümlerdir; her birinin yanında ona dayanan madde sayısı yazar.

Pakete dair ayrıntılar

  1. Organisation
  2. Framework mapping
  3. Cluster
  4. Control statement4
  5. Coverage2
  6. Vulnerability findings
  7. Outcomes1
  8. Admission decisions4
  9. Supply chain3
  10. Triage decisions1
  11. Break-glass events1
  12. Availability1
  13. Evidence chain4
  14. Deployment context1
  15. Issues1
  16. Ledger
  17. Population
  18. Runtime events
  19. Producer statements (VEX)
Kapsam

Kapsam paragrafı, raporda yazıldığı gibi.

This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto ISO/IEC 27001:2022 Annex A. Certification is granted to an information security management system, not to a control instrument: this document is evidence an assessor can place against a small number of Annex A controls, chiefly A.8.8 technical vulnerability management, A.8.19 software on operational systems and A.8.28 secure coding's deployment half. The management system clauses and the controls that govern people, physical security and suppliers as organisations are outside the scope of this document and are marked as such.

Sorular

ISO/IEC 27001 hakkında

Bu bir ISO/IEC 27001 sertifikası mı?

Hayır. Paket, cluster'ınızın kendi kayıtlarından üretilmiş bir kanıttır. Sertifika değildir ve hiçbir denetçi onu kabul etmek zorunda değildir. Bu sayfadaki kapsam paragrafı, raporun kendisinde yer alan paragrafın aynısıdır.

Maddelerin 2 tanesi neden kapsam dışı?

Bu maddeler, tek bir cluster'ın admission ve tarama kayıtlarının gösteremeyeceği şeyleri soruyor. Rapordan çıkarılmaz, gerekçesiyle listelenir; böylece raporu okuyan kişi bu maddelerin bilerek dışarıda bırakıldığını görür.

ISO/IEC 27001 hangi planda var?

Her plan bu framework'e göre rapor üretebilir. Community ve Team'de seçtiğiniz bir framework, Business'ta üç, Enterprise'da hepsi bulunur. Fiyatlar fiyat sayfasında.

Denetçi paketi nasıl kontrol eder?

Tarayıcıda, hiçbir şey yüklemeden attestkeep.com/verify.html adresinde ya da dokümantasyon sitesindeki kısa script ile. İkisi de bize ihtiyaç duymaz. Ayrıntılar Denetçiler için sayfasında.

Kendiniz kurun.

Hesap oluşturun, gönderdiğimiz kodla e-postanızı doğrulayın, Licences sayfasından ücretsiz Community anahtarını alın ve Helm ile kurun.

Hesap oluştur