Control-Map · Rev 5, NIST SP 800-53B

FedRAMP Moderate

Audit-Pilot buchen Beispielbericht ansehen

16 von 37 Controls für FedRAMP Moderate, die Code belegen kann, mit v1.4.0, plus 4 unterstützend

Code-Nachweis heute für vierzehn Controls, von Zugriffsdurchsetzung bis Schutz ruhender Daten; Konfigurationsänderungskontrolle in v1.4.0.

Live14
Kommt in v1.4.02
Unterstützend4
Geplant21
Ihre Organisation136

14 mit Code-Nachweis heuteTeilnachweis, bei jedem Pull Request geprüft.
2 weitere in v1.4.0Prozessnachweis aus Merges, Freigaben und Regeländerungen.
136 bleiben bei Ihrer OrganisationUnten vollständig aufgelistet, damit nichts angedeutet wird.

FedRAMP bewertet NIST-SP-800-53-Controls. Die Kontrolle von Konfigurationsänderungen verlangt, dass Änderungen geprüft, freigegeben und dokumentiert werden und nur berechtigte Personen sie vornehmen dürfen.

Heute liefert der FedRAMP-Moderate-Blueprint Code-Nachweise für vierzehn Controls. Ab v1.4.0 liefern Änderungseinträge Nachweise für CM-3 Configuration Change Control und SA-10 Developer Configuration Management, mit unterstützenden Nachweisen für Aufgabentrennung, Zugriffsbeschränkungen bei Änderungen und Integrität.

Toevan liefert Nachweise für Controls; es zertifiziert sie nie und behauptet nie, ein Framework sei abgedeckt. Ob die Nachweise genügen, beurteilt Ihr Auditor.

Live14

Code-Nachweis heute, bei jedem Pull Request versiegelt. Immer nur teilweise: Das Control verlangt auch Dinge außerhalb des Codes. Code-Nachweis heute: Regeln im Blueprint FedRAMP Moderate prüfen einen Teil davon bei jedem Pull Request.

AC-2
Kontoverwaltung
AC Zugriffskontrolle
AC-3
Durchsetzung des Zugriffs
AC Zugriffskontrolle
AC-4
Durchsetzung des Informationsflusses
AC Zugriffskontrolle
AC-6
Minimale Rechte
AC Zugriffskontrolle
AU-2
Ereignisprotokollierung
AU Audit und Rechenschaft
AU-12
Erzeugung von Audit-Einträgen
AU Audit und Rechenschaft
CM-2
Basiskonfiguration
CM Konfigurationsmanagement
CM-6
Konfigurationseinstellungen
CM Konfigurationsmanagement
IA-5
Verwaltung von Authentifikatoren
IA Identifizierung und Authentifizierung
SA-11
Tests und Bewertung durch Entwickler
SA Beschaffung von Systemen und Diensten
Gestärkt in v1.4.0: Die Pflicht-Checks beim Merge werden pro Änderung versiegelt.
SC-7
Grenzschutz
SC System- und Kommunikationsschutz
SC-8
Vertraulichkeit und Integrität der Übertragung
SC System- und Kommunikationsschutz
SC-28
Schutz ruhender Informationen
SC System- und Kommunikationsschutz
SI-2
Behebung von Fehlern
SI System- und Informationsintegrität

Kommt in v1.4.02

Prozessnachweis: gemergte Pull Requests, Freigaben, Pflicht-Checks, Branch-Schutz, Rulesets und Umgehungen, pro Änderung versiegelt.

CM-3
Kontrolle von Konfigurationsänderungen
CM Konfigurationsmanagement
Prozessnachweis: Jeder gemergte Pull Request wird als Änderungseintrag versiegelt, mit seinen Freigaben auf dem finalen Commit, den Pflicht-Checks beim Merge, der mergenden Person, seinen Signaturen und den mitgeführten Code-Urteilen.
SA-10
Konfigurationsmanagement der Entwickler
SA Beschaffung von Systemen und Diensten
Prozessnachweis: Änderungseinträge und Control-Änderungen für das Quell-Repository.

Unterstützend4

Toevan erfasst verwandte Nachweise, heute oder in v1.4.0, doch die Pflicht liegt bei der Organisation und gilt deshalb nie als abgedeckt.

AC-5
AufgabentrennungKommt in v1.4.0
AC Zugriffskontrolle
Aufgabentrennung pro Änderung: der Autor gegenüber den Freigebenden, aus GitHub-Konto-IDs berechnet. Die weitergehende Pflicht bleibt organisatorisch.
AU-6
Prüfung, Analyse und Berichte zu Audit-Einträgen
AU Audit und Rechenschaft
Unterstützender Nachweis heute: Eine Regel erfasst Nachweise zu dieser Pflicht. Die Pflicht selbst betrifft einen betrieblichen Prozess.
CM-5
Zugriffsbeschränkungen für ÄnderungenKommt in v1.4.0
CM Konfigurationsmanagement
Wer geschützte Branches ändern darf, und jede Umgehung, als Control-Änderungen versiegelt. Die Zugriffsverwaltung selbst bleibt organisatorisch.
SI-7
Integrität von Software, Firmware und InformationenKommt in v1.4.0
SI System- und Informationsintegrität
Fakten zur Commit-Signatur an jeder gemergten Änderung.

Geplant21

Lässt sich aus Code oder GitHub belegen. Die Regel oder die Zuordnung ist noch nicht gebaut.

AC-7
Fehlgeschlagene Anmeldeversuche
AC Zugriffskontrolle
AC-11
Gerätesperre
AC Zugriffskontrolle
AC-12
Beenden von Sitzungen
AC Zugriffskontrolle
AC-17
Fernzugriff
AC Zugriffskontrolle
AU-3
Inhalt von Audit-Einträgen
AU Audit und Rechenschaft
AU-8
Zeitstempel
AU Audit und Rechenschaft
AU-9
Schutz von Audit-Informationen
AU Audit und Rechenschaft
AU-11
Aufbewahrung von Audit-Einträgen
AU Audit und Rechenschaft
CM-7
Minimale Funktionalität
CM Konfigurationsmanagement
CP-9
Systemsicherung
CP Notfallplanung
IA-2
Identifizierung und Authentifizierung (Organisationsnutzer)
IA Identifizierung und Authentifizierung
IA-4
Verwaltung von Kennungen
IA Identifizierung und Authentifizierung
IA-6
Rückmeldung bei der Authentifizierung
IA Identifizierung und Authentifizierung
IA-8
Identifizierung und Authentifizierung (Externe Nutzer)
IA Identifizierung und Authentifizierung
RA-5
Schwachstellenüberwachung und -scans
RA Risikobewertung
SC-12
Aufbau und Verwaltung kryptografischer Schlüssel
SC System- und Kommunikationsschutz
SC-13
Kryptografischer Schutz
SC System- und Kommunikationsschutz
SC-23
Sitzungsauthentizität
SC System- und Kommunikationsschutz
SI-10
Validierung von Eingaben
SI System- und Informationsintegrität
SI-11
Fehlerbehandlung
SI System- und Informationsintegrität
SI-12
Informationsverwaltung und Aufbewahrung
SI System- und Informationsintegrität

Ihre Organisation136

Richtlinien, Personal, physische Sicherheit, Verträge, regulatorische Verfahren, Betrieb oder externe Prüfung. Diese belegt Ihre Organisation.

Alle 136 Controls anzeigen

AC Zugriffskontrolle

AC-1Richtlinien und Verfahrendie Richtlinien der Organisation
AC-8Hinweis zur Systemnutzungeinen betrieblichen Prozess
AC-14Zulässige Aktionen ohne Identifizierung oder Authentifizierungeinen betrieblichen Prozess
AC-18WLAN-Zugriffeinen betrieblichen Prozess
AC-19Zugriffskontrolle für mobile Geräteeinen betrieblichen Prozess
AC-20Nutzung externer Systemeeinen betrieblichen Prozess
AC-21Informationsaustauscheinen betrieblichen Prozess
AC-22Öffentlich zugängliche Inhalteeinen betrieblichen Prozess

AT Bewusstsein und Schulung

AT-1Richtlinien und Verfahrendie Richtlinien der Organisation
AT-2Grundschulung und BewusstseinPersonal und HR
AT-3Rollenbasierte SchulungPersonal und HR
AT-4SchulungsnachweisePersonal und HR

AU Audit und Rechenschaft

AU-1Richtlinien und Verfahrendie Richtlinien der Organisation
AU-4Speicherkapazität für Audit-Logseinen betrieblichen Prozess
AU-5Reaktion auf Ausfälle der Audit-Protokollierungeinen betrieblichen Prozess
AU-7Reduktion von Audit-Einträgen und Berichtserstellungeinen betrieblichen Prozess

CA Bewertung, Autorisierung und Überwachung

CA-1Richtlinien und Verfahrendie Richtlinien der Organisation
CA-2Control-Bewertungeneine externe Prüfung
CA-3Informationsaustauscheine externe Prüfung
CA-5Maßnahmenplan mit Meilensteineneine externe Prüfung
CA-6Autorisierungeine externe Prüfung
CA-7Laufende Überwachungeine externe Prüfung
CA-9Interne Systemverbindungeneine externe Prüfung

CM Konfigurationsmanagement

CM-1Richtlinien und Verfahrendie Richtlinien der Organisation
CM-4Auswirkungsanalyseneinen betrieblichen Prozess
CM-8Inventar der Systemkomponenteneinen betrieblichen Prozess
CM-9Konfigurationsmanagementplaneinen betrieblichen Prozess
CM-10Beschränkungen der Softwarenutzungeinen betrieblichen Prozess
CM-11Von Nutzern installierte Softwareeinen betrieblichen Prozess
CM-12Speicherort von Informationeneinen betrieblichen Prozess

CP Notfallplanung

CP-1Richtlinien und Verfahrendie Richtlinien der Organisation
CP-2Notfallplaneinen betrieblichen Prozess
CP-3Notfallschulungeinen betrieblichen Prozess
CP-4Test des Notfallplanseinen betrieblichen Prozess
CP-6Alternativer Speicherstandorteinen betrieblichen Prozess
CP-7Alternativer Verarbeitungsstandorteinen betrieblichen Prozess
CP-8Telekommunikationsdiensteeinen betrieblichen Prozess
CP-10Systemwiederherstellung und Rekonstitutioneinen betrieblichen Prozess

IA Identifizierung und Authentifizierung

IA-1Richtlinien und Verfahrendie Richtlinien der Organisation
IA-3Identifizierung und Authentifizierung von Geräteneinen betrieblichen Prozess
IA-7Authentifizierung kryptografischer Moduleeinen betrieblichen Prozess
IA-11Erneute Authentifizierungeinen betrieblichen Prozess
IA-12Identitätsnachweiseinen betrieblichen Prozess

IR Incident Response

IR-1Richtlinien und Verfahrendie Richtlinien der Organisation
IR-2Schulung zur Incident Responseeinen betrieblichen Prozess
IR-3Test der Incident Responseeinen betrieblichen Prozess
IR-4Behandlung von Incidentseinen betrieblichen Prozess
IR-5Überwachung von Incidentseinen betrieblichen Prozess
IR-6Meldung von Incidentseinen betrieblichen Prozess
IR-7Unterstützung bei Incident Responseeinen betrieblichen Prozess
IR-8Incident-Response-Planeinen betrieblichen Prozess

MA Wartung

MA-1Richtlinien und Verfahrendie Richtlinien der Organisation
MA-2Kontrollierte Wartungdie physische Sicherheit
MA-3Wartungswerkzeugedie physische Sicherheit
MA-4Fernwartungdie physische Sicherheit
MA-5Wartungspersonaldie physische Sicherheit
MA-6Zeitnahe Wartungdie physische Sicherheit

MP Schutz von Datenträgern

MP-1Richtlinien und Verfahrendie Richtlinien der Organisation
MP-2Zugriff auf Datenträgerdie physische Sicherheit
MP-3Kennzeichnung von Datenträgerndie physische Sicherheit
MP-4Lagerung von Datenträgerndie physische Sicherheit
MP-5Transport von Datenträgerndie physische Sicherheit
MP-6Bereinigung von Datenträgerndie physische Sicherheit
MP-7Nutzung von Datenträgerndie physische Sicherheit

PE Physischer Schutz und Umgebungsschutz

PE-1Richtlinien und Verfahrendie Richtlinien der Organisation
PE-2Genehmigung des physischen Zutrittsdie physische Sicherheit
PE-3Kontrolle des physischen Zutrittsdie physische Sicherheit
PE-4Zugriffskontrolle für Übertragungswegedie physische Sicherheit
PE-5Zugriffskontrolle für Ausgabegerätedie physische Sicherheit
PE-6Überwachung des physischen Zutrittsdie physische Sicherheit
PE-8Besucherprotokolledie physische Sicherheit
PE-9Stromgeräte und Verkabelungdie physische Sicherheit
PE-10Notabschaltungdie physische Sicherheit
PE-11Notstromdie physische Sicherheit
PE-12Notbeleuchtungdie physische Sicherheit
PE-13Brandschutzdie physische Sicherheit
PE-14Umgebungskontrollendie physische Sicherheit
PE-15Schutz vor Wasserschädendie physische Sicherheit
PE-16Lieferung und Abtransportdie physische Sicherheit
PE-17Alternativer Arbeitsplatzdie physische Sicherheit

PL Planung

PL-1Richtlinien und Verfahrendie Richtlinien der Organisation
PL-2Sicherheits- und Datenschutzpläne des Systemsdie Richtlinien der Organisation
PL-4Verhaltensregelndie Richtlinien der Organisation
PL-8Sicherheits- und Datenschutzarchitekturendie Richtlinien der Organisation
PL-10Auswahl der Basisdie Richtlinien der Organisation
PL-11Anpassung der Basisdie Richtlinien der Organisation

PS Personalsicherheit

PS-1Richtlinien und Verfahrendie Richtlinien der Organisation
PS-2Risikoeinstufung von PositionenPersonal und HR
PS-3Überprüfung von PersonalPersonal und HR
PS-4Beendigung von BeschäftigungPersonal und HR
PS-5Versetzung von PersonalPersonal und HR
PS-6ZugriffsvereinbarungenPersonal und HR
PS-7Sicherheit bei externem PersonalPersonal und HR
PS-8Sanktionen für PersonalPersonal und HR
PS-9StellenbeschreibungenPersonal und HR

RA Risikobewertung

RA-1Richtlinien und Verfahrendie Richtlinien der Organisation
RA-2Sicherheitseinstufungdie Richtlinien der Organisation
RA-3Risikobewertungdie Richtlinien der Organisation
RA-7Risikoreaktiondie Richtlinien der Organisation
RA-9Kritikalitätsanalysedie Richtlinien der Organisation

SA Beschaffung von Systemen und Diensten

SA-1Richtlinien und Verfahrendie Richtlinien der Organisation
SA-2Zuteilung von Ressourcendie Richtlinien der Organisation
SA-3Lebenszyklus der Systementwicklungdie Richtlinien der Organisation
SA-4BeschaffungsprozessVerträge und Lieferanten
SA-5Systemdokumentationdie Richtlinien der Organisation
SA-8Prinzipien für Sicherheits- und Datenschutz-Engineeringdie Richtlinien der Organisation
SA-9Externe SystemdiensteVerträge und Lieferanten
SA-15Entwicklungsprozess, Standards und Werkzeugedie Richtlinien der Organisation
SA-22Nicht unterstützte Systemkomponentendie Richtlinien der Organisation

SC System- und Kommunikationsschutz

SC-1Richtlinien und Verfahrendie Richtlinien der Organisation
SC-2Trennung von System- und Nutzerfunktioneneinen betrieblichen Prozess
SC-4Informationen in geteilten Systemressourceneinen betrieblichen Prozess
SC-5Schutz vor Denial-of-Serviceeinen betrieblichen Prozess
SC-10Netzwerktrennungeinen betrieblichen Prozess
SC-15Geräte und Anwendungen für Zusammenarbeiteinen betrieblichen Prozess
SC-17Zertifikate der Public-Key-Infrastruktureinen betrieblichen Prozess
SC-18Mobiler Codeeinen betrieblichen Prozess
SC-20Sicherer Namensauflösungsdienst (autoritative Quelle)einen betrieblichen Prozess
SC-21Sicherer Namensauflösungsdienst (rekursiv oder Cache)einen betrieblichen Prozess
SC-22Architektur und Bereitstellung der Namensauflösungeinen betrieblichen Prozess
SC-39Prozessisolierungeinen betrieblichen Prozess

SI System- und Informationsintegrität

SI-1Richtlinien und Verfahrendie Richtlinien der Organisation
SI-3Schutz vor Schadcodeeinen betrieblichen Prozess
SI-4Systemüberwachungeinen betrieblichen Prozess
SI-5Sicherheitswarnungen, Hinweise und Weisungeneinen betrieblichen Prozess
SI-8Spam-Schutzeinen betrieblichen Prozess
SI-16Speicherschutzeinen betrieblichen Prozess

SR Risikomanagement der Lieferkette

SR-1Richtlinien und Verfahrendie Richtlinien der Organisation
SR-2Risikomanagementplan für die LieferketteVerträge und Lieferanten
SR-3Controls und Prozesse der LieferketteVerträge und Lieferanten
SR-5Beschaffungsstrategien, Werkzeuge und MethodenVerträge und Lieferanten
SR-6Bewertungen und Prüfungen von LieferantenVerträge und Lieferanten
SR-8BenachrichtigungsvereinbarungenVerträge und Lieferanten
SR-10Prüfung von Systemen oder KomponentenVerträge und Lieferanten
SR-11Echtheit von KomponentenVerträge und Lieferanten
SR-12Entsorgung von KomponentenVerträge und Lieferanten

Im Audit nutzen

Grundgesamtheit aus den Änderungseinträgen entnehmen (ab v1.4.0)
Jeder Merge in einen geschützten Branch und jeder direkte Push im Zeitraum, beim Eintreten aus GitHub erfasst, ist ein versiegelter Eintrag, den Sie für die Stichprobe exportieren können. Die Grundgesamtheit des Standard-Branches können Sie aus der Git-Historie nachvollziehen; festgelegte Produktions-Branches sind für v1.4.1 geplant.
Code-Nachweise des Zeitraums lesen
Jeder Pull Request trägt versiegelte Code-Ergebnisse zu den Regeln des Blueprints, festgemacht am Commit und an der geltenden Regelsatz-Version.
Stichprobe testen
Prüfen Sie für jeden gezogenen Eintrag das Ergebnis, dann Signatur und Platz in der Kette offline.
$ toevan audit verify --path evidence-clone --pub-key toevan.pub

Wie jeder Fakt erhoben wurde

Jeder Fakt in einem Eintrag und einem Bericht trägt eines von sechs Labels, damit Ihr Auditor weiß, wie weit er sich darauf stützen kann.

Neu berechnet: Toevan hat es selbst aus Code oder Git-Historie berechnet.; Mit denselben Eingaben nachvollziehen und dasselbe Ergebnis erhalten.
Gemeldet + versiegelt: GitHub hat es gemeldet; Toevan hat es beim Ereignis erfasst und signiert.; Verlassen Sie sich darauf, soweit Sie GitHub vertrauen. Jede spätere Änderung ist erkennbar.
Erklärt + versiegelt: Die Organisation hat es erklärt, etwa eine Änderung dessen, was geprüft wird; Toevan hat die Erklärung und ihre Historie signiert.; Sehen Sie, wer was wann erklärt hat, und jede spätere Änderung.
Toevan-Eintrag, nicht versiegelt: In der Datenbank von Toevan gespeichert, aber nicht im Ledger versiegelt, etwa eine Ausnahmegenehmigung heute. Keine Signatur schützt ihn.; Behandeln Sie ihn als Aussage von Toevan und fragen Sie die Organisation nach der Freigabe dahinter.
Übernommen: Aus dem signierten Eintrag eines anderen Systems übernommen, etwa einer Build-Provenienz, und per Commit oder Digest verknüpft. Geplant.; Den Originaleintrag unabhängig prüfen.
Nicht erfasst: Es gab keine verlässliche Quelle. Toevan schließt nichts daraus.; Auf anderem Weg bei der Organisation einholen.

Im Bericht ansehen

Der Beispielbericht zeigt den Nachweis so, wie Ihr Auditor ihn erhält, jeder Fakt mit Label.

Beispielbericht öffnen

Testen Sie die Zuordnung an einem echten Audit.

Bringen Sie ein Repository und ein anstehendes Audit mit. Wir richten den Blueprint ein und führen Ihren Auditor durch die Prüfung.