Bölgesel · Singapur

MAS Technology Risk Management Guidelines (2021)

Attestkeep, cluster'ınızda admission control ve image taramasının bir dönemde kaydettiklerini 30 maddeye eşler. Kaynak: Monetary Authority of Singapore, 18 Ocak 2021. Bunlardan 19 tanesi bu kayıtlardan değerlendirilir; 11 tanesi kapsam dışı işaretlenir, her biri gerekçesiyle.

Hesap oluştur Bir paket nasıl hazırlanır

Framework ne istiyor

Cluster'ın cevap verebildiği 19 madde.

Madde numaraları ve başlıklar raporda basıldığı gibi, yani İngilizce. Bir maddeyi açtığınızda ne istediğini, kaynağın kendi ifadesine yakın bir dille okursunuz.

Technology Risk Management Guidelines

Monetary Authority of Singapore, 18 Ocak 2021

Bölüm 3.3 (bilgi varlıkları), 6.1 ve 6.3 (uygulama güvenliği ve DevSecOps), 7.2 ila 7.6 (yapılandırma, teknoloji yenileme, yama, değişiklik ve yazılım release yönetimi), 11.3 ve 11.4 (sistem ve sanallaştırma güvenliği), 12.1 ve 12.2 (siber tehdit istihbaratı ve olay izleme), 13.1 ve 13.6 (zafiyet değerlendirmesi ve giderme) ile 15 (BT denetimi)

Madde	Başlık	Rapor bölümleri
Paragraph 3.3.1	Information asset management practices BT işletim ortamının doğru ve eksiksiz bir görünümüne sahip olmak için finansal kuruluş bilgi varlığı yönetimi uygulamaları oluşturmalıdır: işini ve finansal hizmet sunumunu destekleyen bilgi varlıklarını belirlemek, her varlığı güvenlik sınıfına ya da kritikliğine göre sınıflandırmak, varlıkların sahipliğini ve onları yöneten personelin rol ve sorumluluklarını tanımlamak ve varlıkları bu sınıflandırmaya göre yönetecek politika, standart ve prosedürleri koymak.	CoverageSupply chain
Paragraph 3.3.2	An inventory of information assets, reviewed and kept current Finansal kuruluş tüm bilgi varlıklarının envanterini tutmalı, envanteri düzenli aralıklarla gözden geçirmeli ve her değişiklikte güncellemelidir.	CoverageSupply chain
Paragraph 6.1.4	Tracking vulnerabilities in third party and open-source components Zafiyetlerin zamanında giderilebilmesi için finansal kuruluş, yazılımına kattığı üçüncü taraf ve açık kaynak kodların güncellemelerini ve bildirilen zafiyetlerini takip etmelidir.	Supply chainCoverage
Paragraph 6.1.7	Issues tracked, and major defects remediated before deployment Kaynak kod incelemesinde ve uygulama güvenliği testlerinde bulunan tüm sorunlar ve yazılım hataları takip edilmeli; önemli sorunlar ve hatalar üretime almadan önce giderilmelidir.	CoverageAdmission decisionsOutcomesControl statement
Paragraph 7.2.1	Configuration management keeps accurate information about each system Finansal kuruluş, BT sistemlerine görünürlük ve etkili kontrol için her BT sistemini oluşturan donanım ve yazılımın yapılandırması (model, sürüm, özellikler vb.) hakkında doğru bilgi tutan bir yapılandırma yönetimi süreci uygulamalıdır.	CoverageSupply chainControl statement
Paragraph 7.2.2	Configuration information is reviewed and verified regularly Finansal kuruluş donanım ve yazılımının yapılandırma bilgilerini düzenli olarak gözden geçirip doğrulamalı, doğru ve güncel kalmalarını sağlamalıdır.	CoverageAdmission decisionsEvidence chain
Paragraph 7.3.1	Outdated and unsupported software is avoided and end-of-support watched Finansal kuruluş, güvenlik ve kararlılık risklerini artırabilecek eski ve desteklenmeyen donanım ya da yazılımdan kaçınmalı ve destek bitiş tarihlerini yakından izlemelidir; çünkü sağlayıcılar genellikle o tarihten sonra, sonradan bulunan güvenlik zafiyetleri için de yama yayımlamayı keser.	Control statementCoverage
Paragraph 7.4.1	Patches applied within a timeframe set by criticality Güvenlik zafiyeti ve yazılım hatası düzeltmeleri gibi geçerli işlevsel ve işlevsel olmayan yamaların, hem yamanın hem de kuruluşun BT sistemlerinin kritikliğiyle orantılı bir süre içinde uygulanmasını sağlayan bir yama yönetimi süreci kurulmalıdır.	Control statementCoverageAdmission decisionsOutcomesIssues
Paragraph 7.5.1	Changes are assessed, tested, reviewed and approved before implementation Finansal kuruluş, bilgi varlıklarındaki değişikliklerin uygulanmadan önce değerlendirilmesini, test edilmesini, incelenmesini ve onaylanmasını sağlayan bir değişiklik yönetimi süreci kurmalıdır.	Admission decisionsEvidence chain
Paragraph 7.5.7	The change process is logged Log'lar inceleme ve sorun gidermeyi kolaylaştıran bilgi içerdiğinden, finansal kuruluş değişiklik süreci boyunca yapılan işlemleri kaydetmek için log kaydının açık olduğundan emin olmalıdır.	Evidence chain
Paragraph 7.6.2	Traceability and integrity for code moved between environments BT ortamları arasında taşınan tüm yazılım kodları için izlenebilirliği ve bütünlüğü koruyan kontroller uygulanmalıdır.	Supply chainControl statementAdmission decisionsEvidence chain
Paragraph 11.3.1	Security standards outline configurations that minimise exposure Finansal kuruluşun işletim sistemleri, veritabanları, ağ cihazları ve uç cihazlar gibi donanım ve yazılımı için güvenlik standartları, siber tehditlere açıklığı en aza indiren yapılandırmaları tanımlamalı ve uygunluk ve etkinlik açısından düzenli olarak gözden geçirilmelidir.	Control statementAdmission decisions
Paragraph 11.3.2	Standards verified as applied uniformly, and deviations addressed Finansal kuruluş, standartların sistemlerde tutarlı biçimde uygulandığını doğrulayan ve sapmaları belirleyen bir süreç kurmalı; sapmalardan doğan riskler zamanında ele alınmalıdır.	Control statementAdmission decisionsTriage decisions
Paragraph 11.3.6	Only authorised software may be installed Kuruluşun sistemlerine yalnızca yetkili yazılımın kurulabilmesi için application whitelisting gibi güvenlik önlemleri uygulanmalıdır.	Control statementSupply chain
Paragraph 12.1.1	Cyber-related information is collected, processed and analysed İyi bir siber durum farkındalığı için finansal kuruluş, siber olaylar, siber tehdit istihbaratı ve sistem zafiyetleri gibi siberle ilgili bilgileri, işine ve BT ortamına uygunluğu ve olası etkisi açısından toplayan, işleyen ve analiz eden bir süreç kurmalıdır.	ClusterCoverageControl statement
Paragraph 12.2.2	System logs are collected, reviewed, retained and protected Kuruluşun güvenlik izleme faaliyetlerini kolaylaştırmak için sistem log'larını toplayan, işleyen, inceleyen ve saklayan bir süreç kurulmalı; bu log'lar yetkisiz erişime karşı korunmalıdır.	Evidence chain
Paragraph 13.1.1	Regular vulnerability assessment, with risks addressed in time Finansal kuruluş, güvenlik zafiyetlerini belirlemek ve bu açıklardan doğan risklerin zamanında ele alınmasını sağlamak için BT sistemlerinde düzenli zafiyet değerlendirmesi yapan bir süreç kurmalıdır; sıklık, sistemin kritikliği ve maruz kaldığı güvenlik riskiyle orantılı olmalıdır.	CoverageAdmission decisionsOutcomesControl statementIssues
Paragraph 13.1.2	What a vulnerability assessment must minimally cover Zafiyet değerlendirmesinin kapsamı en az zafiyet keşfini, zayıf güvenlik yapılandırmalarının ve açık ağ port'larının tespitini ve uygulama zafiyetlerini içermeli; web tabanlı sistemlerde yaygın web zafiyetleri de kontrol edilmelidir.	CoverageControl statementAdmission decisions
Paragraph 13.6.1	A remediation process that classifies, times and governs deviations Siber güvenlik değerlendirmelerinde ya da tatbikatlarında bulunan sorunları takip edip çözen kapsamlı bir giderme süreci kurulmalıdır; en az önem derecesi değerlendirmesi ve sınıflandırması, farklı önem dereceleri için giderme süreleri ve framework'ten sapmaları yönetecek risk değerlendirmesi ve azaltma stratejileri içermelidir.	CoverageAdmission decisionsOutcomesControl statementTriage decisionsIssues

Kapsam dışı işaretlenen 11 madde ve nedenleri

Madde	Madde ve gerekçe
Paragraph 6.1.3	Third party and open-source code reviewed before integration İnceleme ve test entegrasyondan önce, bir kaynak ağacında ve build'de yapılır; bu kontrol sonucu build edilmiş bir image olarak karşılar ve içinde ne olduğunu söyleyebilir, öncesinde ona ne yapıldığını değil.
Paragraph 6.1.6	Application security validation and testing Statik, dinamik ve etkileşimli testler kaynak kodu, bytecode'u ve çalışan bir uygulamayı okur; bir admission kararı ise image'ın bileşenlerini ve onlara karşı duran bulguları okur; bu, başka bir şeyin başka bir ölçümüdür ve onun yerine geçmez.
Paragraph 6.3.1	DevSecOps aligned with the SDLC and IT service management Bir pipeline ile bir framework arasındaki uyum, kuruluşun işi nasıl düzenlediğine bağlıdır; bu cluster pipeline çıktısının vardığı yerdir ve onu üreten süreci değil, ortaya çıkan artefaktı görür.
Paragraph 6.3.2	Segregation of duties across development, testing and release Görevler ayrılığı, bir build ve release sisteminde hangi kişilerin hangi yetkilere sahip olduğuyla ilgili bir ifadedir; bunların hiçbiri o kişilerin ürettiği artefakt üzerine verilen admission kararında görünmez.
Paragraph 7.3.3	Management dispensation for continued use of unsupported software Bir istisna izni, yönetimin bir riski onaylayıp ona tarih koymasıdır ve kuruluşun kendi yönetişiminde kaydedilir; bu kontrol, desteği bitmiş temel işletim sistemine sahip bir image'ın kabul edildiğini ve policy'nin buna izin verdiğini gösterebilir; kaydettiği risk kabulleri ise bulgularla ilgili kararlardır, artık kimsenin yamamadığı bir platformla değil.
Paragraph 7.4.2	Patches are tested before production Bir yama, uygulanmadan önce kuruluşun kendi ortamlarında test edilir; bu kontrol yeniden build edilmiş image'ı sonradan karşılar ve artık neyi taşımadığını söyleyebilir, uygulamanın güvenli olduğuna kanaat getirmek için ne yapıldığını değil.
Paragraph 7.6.1	Segregation of duties in the software release process Kimin build alabileceğine ve kimin promote edebileceğine bir release pipeline'ındaki yetkiler karar verir; bu cluster o zincirin son ortamıdır ve neyin geldiğini kaydeder, onu göndermeye kimin yetkili olduğunu değil.
Paragraph 11.4.1	Security standards for every component of a virtualisation solution Bu paragrafın adını verdiği bileşenler hypervisor, host işletim sistemi ve misafir işletim sistemidir; hepsi bu operator'ün çalıştığı node'un altındadır ve bir container'ı kabul eden webhook hiçbirini görmez.
Paragraph 11.4.3	Policies and standards governing virtual images and snapshots Bu paragrafın düzenlediği varlıklar sanal makine image'ları ve snapshot'larıdır; kılavuz sanallaştırmayı donanımın simülasyonu olarak tanımlar. Container image'ı yalnızca kelimeyi paylaşır, artefaktı değil; bu operator'ün container image'ları üzerindeki kontrolleri hypervisor'larla ilgili bir bölüme ödünç verilmez, 7.6.2 ve 11.3.6 altında raporlanır.
Paragraph 12.1.2	Intelligence services and threat information sharing Bir hizmet satın almak ve bir bilgi paylaşım düzenine katılmak kuruluşun ticari ve üyelik kararlarıdır; bu operator'ün istismar edilen zafiyetlerin kamuya açık bir kataloğunu okuması 12.1.1 altında raporlanır ve ikisinin de yerine geçmez.
Paragraph 15.1.1	An independent IT audit opinion Bu belge bir denetimin okuduğu kanıttır, denetimin kendisi değil; paragrafın istediği görüşü, incelediği kontrollerden bağımsız olması gereken bir birim oluşturur ve bir kontrol kendini denetleyemez.

Attestkeep ne üretir

Cluster'ın zaten tuttuğu kayıtlardan kanıt.

Hiçbir şey elle doldurulmaz. Her maddenin cevabında bir durum (karşılanıyor, kısmen, eksik ya da kapsam dışı), dönemin kendi rakamlarını veren bir not ve bu rakamların geldiği rapor bölümleri yer alır.

Eşlemenin dayandığı beyanlar

Değerlendirilen her madde, dönemin kayıtlarıyla ilgili bu beyanlardan bir ya da birkaçıyla cevaplanır. Aynı soruyu her framework'te aynı beyan cevaplar; bu yüzden aynı döneme ait iki rapor birbiriyle çelişemez.

Envanterdeki her image'ın bir tarama kaydı vardır9 madde
Kullanımdaki image'lar için SBOM tutulur5 madde
Ağır bulgu taşıyan image'lar reddedilir4 madde
Admission uyumsuz workload'ları reddeder3 madde
Her karar ve her yönetim işlemi kaydedilir3 madde
Her image değişikliği, onu yöneten policy ile birlikte kaydedilir3 madde
Workload'lar image'ı değişebilen bir tag ile değil, digest ile belirtir3 madde
Her önem derecesi için bir giderme süresi tanımlıdır3 madde
Workload yetkileri admission sırasında sınırlanır3 madde
Kabul edilen risklerin adı, gerekçesi ve süresi var2 madde
Yalnızca kaynağı kanıtlanmış image'lar çalışabilir2 madde
Temel işletim sisteminin desteği bitmiş image'lar reddedilir1 madde
Bulgular, istismar edilen zafiyetlere ait ulusal bir katalogla karşılaştırılır1 madde
Image'lar yalnız adı belirtilen registry'lerden girebilir1 madde

Paket

Raporda neler var.

Framework hangisi olursa olsun her pakette aynı bölümler bulunur. İşaretli olanlar MAS TRM cevaplarının dayandığı bölümlerdir; her birinin yanında ona dayanan madde sayısı yazar.

Pakete dair ayrıntılar

Organisation
Framework mapping
Cluster1
Control statement12
Coverage12
Vulnerability findings
Outcomes4
Admission decisions10
Supply chain6
Triage decisions2
Break-glass events
Availability
Evidence chain5
Deployment context
Issues3
Ledger
Population
Runtime events
Producer statements (VEX)

Kapsam

Kapsam paragrafı, raporda yazıldığı gibi.

This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto the Monetary Authority of Singapore's Technology Risk Management Guidelines of 18 January 2021. The Guidelines are supervisory expectations addressed to a financial institution, not a standard anybody is certified against, and nothing here is an assessment of the FI's technology risk management framework as a whole, of its IT service management processes, or of any control it operates outside this cluster. What the period's records support is the software-facing half of a few paragraphs: which images ran, what was inside them, whether their base operating system was still supported, what was known about them when they ran, what was refused, and what was admitted with an expiry on it. Section 7.3 is answered directly, because a scan records whether an image's base OS is past end of support and the policy decides what admission does about that. Hardware and network devices, endpoint protection, the hypervisor beneath the nodes, the FI's other system logs, and every paragraph whose subject is people rather than records — the change advisory board, segregation of duties in a release pipeline, the dispensation management grants for continued use of unsupported software, the independent audit function of section 15 — are named where a reader would look for them and marked outside what a cluster observes.

Sorular

MAS TRM hakkında

Bu bir MAS TRM sertifikası mı?

Hayır. Paket, cluster'ınızın kendi kayıtlarından üretilmiş bir kanıttır. Sertifika değildir ve hiçbir denetçi onu kabul etmek zorunda değildir. Bu sayfadaki kapsam paragrafı, raporun kendisinde yer alan paragrafın aynısıdır.

Maddelerin 11 tanesi neden kapsam dışı?

Bu maddeler, tek bir cluster'ın admission ve tarama kayıtlarının gösteremeyeceği şeyleri soruyor. Rapordan çıkarılmaz, gerekçesiyle listelenir; böylece raporu okuyan kişi bu maddelerin bilerek dışarıda bırakıldığını görür.

MAS TRM hangi planda var?

Her plan bu framework'e göre rapor üretebilir. Community ve Team'de seçtiğiniz bir framework, Business'ta üç, Enterprise'da hepsi bulunur. Fiyatlar fiyat sayfasında.

Denetçi paketi nasıl kontrol eder?

Tarayıcıda, hiçbir şey yüklemeden attestkeep.com/verify.html adresinde ya da dokümantasyon sitesindeki kısa script ile. İkisi de bize ihtiyaç duymaz. Ayrıntılar Denetçiler için sayfasında.

Kendiniz kurun.

Hesap oluşturun, gönderdiğimiz kodla e-postanızı doğrulayın, Licences sayfasından ücretsiz Community anahtarını alın ve Helm ile kurun.

Hesap oluştur