FedRAMP evalúa los controles de NIST SP 800-53. El control de cambios de configuración exige que los cambios se revisen, aprueben y documenten, y que solo personas autorizadas puedan hacerlos.
Hoy el blueprint de FedRAMP Moderate aporta evidencia de código para catorce controles. Desde v1.4.0, los registros de cambio aportan evidencia para CM-3 Configuration Change Control y SA-10 Developer Configuration Management, con evidencia de apoyo para la separación de funciones, las restricciones de acceso para el cambio y la integridad.
Toevan aporta evidencia para controles; nunca los certifica ni afirma que un marco esté cubierto. Si la evidencia es suficiente lo juzga su auditor.
Activo14
Evidencia de código hoy, sellada en cada pull request. Siempre parcial: el control también exige cosas fuera del código. Evidencia de código hoy: las reglas del blueprint FedRAMP Moderate comprueban parte de esto en cada pull request.
AC-2Gestión de cuentas
AC Control de acceso
AC-3Aplicación del acceso
AC Control de acceso
AC-4Aplicación del flujo de información
AC Control de acceso
AC-6Mínimo privilegio
AC Control de acceso
AU-2Registro de eventos
AU Auditoría y responsabilidad
AU-12Generación de registros de auditoría
AU Auditoría y responsabilidad
CM-2Configuración base
CM Gestión de configuración
CM-6Ajustes de configuración
CM Gestión de configuración
IA-5Gestión de autenticadores
IA Identificación y autenticación
SA-11Pruebas y evaluación del desarrollador
SA Adquisición de sistemas y servicios
Reforzado en v1.4.0: los checks obligatorios al fusionar se sellan por cambio.
SC-7Protección del perímetro
SC Protección de sistemas y comunicaciones
SC-8Confidencialidad e integridad de la transmisión
SC Protección de sistemas y comunicaciones
SC-28Protección de la información en reposo
SC Protección de sistemas y comunicaciones
SI-2Corrección de fallos
SI Integridad de sistemas e información
Próximamente en v1.4.02
Evidencia de proceso: pull requests fusionados, aprobaciones, checks obligatorios, protección de ramas, rulesets y bypasses, sellada por cada cambio.
CM-3Control de cambios de configuración
CM Gestión de configuración
Evidencia de proceso: cada pull request fusionado se sella como un registro de cambio con sus aprobaciones sobre el commit final, los checks obligatorios al fusionar, quién lo fusionó, sus firmas y los veredictos de código que llevaba.
SA-10Gestión de configuración del desarrollador
SA Adquisición de sistemas y servicios
Evidencia de proceso: registros de cambio y cambios de control del repositorio de código fuente.
De apoyo4
Toevan registra evidencia relacionada, hoy o en v1.4.0, pero la obligación es organizativa, así que nunca cuenta como cubierta.
AC-5Separación de funcionesPróximamente en v1.4.0
AC Control de acceso
Separación de funciones por cambio: el autor frente a los aprobadores, calculado a partir de los ids de cuenta de GitHub. La obligación más amplia sigue siendo organizativa.
AU-6Revisión, análisis y reporte de registros de auditoría
AU Auditoría y responsabilidad
Evidencia de apoyo hoy: una regla registra evidencia relacionada con esta obligación. La obligación en sí es un proceso operativo.
CM-5Restricciones de acceso para cambiosPróximamente en v1.4.0
CM Gestión de configuración
Quién puede modificar ramas protegidas, y cada bypass, sellados como cambios de control. La gestión de accesos en sí sigue siendo organizativa.
SI-7Integridad de software, firmware e informaciónPróximamente en v1.4.0
SI Integridad de sistemas e información
Datos de firma de commits en cada cambio fusionado.
Planificado21
Se puede evidenciar desde el código o GitHub. La regla o el mapeo aún no están construidos.
AC-7Intentos fallidos de inicio de sesión
AC Control de acceso
AC-11Bloqueo de dispositivo
AC Control de acceso
AC-12Cierre de sesión
AC Control de acceso
AC-17Acceso remoto
AC Control de acceso
AU-3Contenido de los registros de auditoría
AU Auditoría y responsabilidad
AU-8Marcas de tiempo
AU Auditoría y responsabilidad
AU-9Protección de la información de auditoría
AU Auditoría y responsabilidad
AU-11Conservación de registros de auditoría
AU Auditoría y responsabilidad
CM-7Funcionalidad mínima
CM Gestión de configuración
CP-9Copia de seguridad del sistema
CP Planificación de contingencias
IA-2Identificación y autenticación (usuarios de la organización)
IA Identificación y autenticación
IA-4Gestión de identificadores
IA Identificación y autenticación
IA-6Retroalimentación de autenticación
IA Identificación y autenticación
IA-8Identificación y autenticación (usuarios externos a la organización)
IA Identificación y autenticación
RA-5Monitorización y análisis de vulnerabilidades
RA Evaluación de riesgos
SC-12Establecimiento y gestión de claves criptográficas
SC Protección de sistemas y comunicaciones
SC-13Protección criptográfica
SC Protección de sistemas y comunicaciones
SC-23Autenticidad de la sesión
SC Protección de sistemas y comunicaciones
SI-10Validación de entradas de información
SI Integridad de sistemas e información
SI-11Gestión de errores
SI Integridad de sistemas e información
SI-12Gestión y conservación de la información
SI Integridad de sistemas e información
Su organización136
Política, personas, seguridad física, contratos, trámites regulatorios, operaciones o auditoría externa. Su organización aporta la evidencia.
Mostrar los 136 controles
AC Control de acceso
AC-1Políticas y procedimientosuna política de la organizaciónAC-8Aviso de uso del sistemaun proceso operativoAC-14Acciones permitidas sin identificación ni autenticaciónun proceso operativoAC-18Acceso inalámbricoun proceso operativoAC-19Control de acceso para dispositivos móvilesun proceso operativoAC-20Uso de sistemas externosun proceso operativoAC-21Intercambio de informaciónun proceso operativoAC-22Contenido de acceso públicoun proceso operativo
AT Concienciación y formación
AT-1Políticas y procedimientosuna política de la organizaciónAT-2Formación y concienciaciónun asunto de personas y RR. HH.AT-3Formación por rolun asunto de personas y RR. HH.AT-4Registros de formaciónun asunto de personas y RR. HH.
AU Auditoría y responsabilidad
AU-1Políticas y procedimientosuna política de la organizaciónAU-4Capacidad de almacenamiento de logs de auditoríaun proceso operativoAU-5Respuesta a fallos del registro de auditoríaun proceso operativoAU-7Reducción de registros de auditoría y generación de informesun proceso operativo
CA Evaluación, autorización y monitorización
CA-1Políticas y procedimientosuna política de la organizaciónCA-2Evaluaciones de controlesuna evaluación externaCA-3Intercambio de informaciónuna evaluación externaCA-5Plan de acción y hitosuna evaluación externaCA-6Autorizaciónuna evaluación externaCA-7Monitorización continuauna evaluación externaCA-9Conexiones internas del sistemauna evaluación externa
CM Gestión de configuración
CM-1Políticas y procedimientosuna política de la organizaciónCM-4Análisis de impactoun proceso operativoCM-8Inventario de componentes del sistemaun proceso operativoCM-9Plan de gestión de configuraciónun proceso operativoCM-10Restricciones de uso de softwareun proceso operativoCM-11Software instalado por el usuarioun proceso operativoCM-12Ubicación de la informaciónun proceso operativo
CP Planificación de contingencias
CP-1Políticas y procedimientosuna política de la organizaciónCP-2Plan de contingenciaun proceso operativoCP-3Formación de contingenciaun proceso operativoCP-4Pruebas del plan de contingenciaun proceso operativoCP-6Sitio alternativo de almacenamientoun proceso operativoCP-7Sitio alternativo de procesamientoun proceso operativoCP-8Servicios de telecomunicacionesun proceso operativoCP-10Recuperación y reconstitución del sistemaun proceso operativo
IA Identificación y autenticación
IA-1Políticas y procedimientosuna política de la organizaciónIA-3Identificación y autenticación de dispositivosun proceso operativoIA-7Autenticación de módulos criptográficosun proceso operativoIA-11Reautenticaciónun proceso operativoIA-12Verificación de identidadun proceso operativo
IR Respuesta a incidentes
IR-1Políticas y procedimientosuna política de la organizaciónIR-2Formación en respuesta a incidentesun proceso operativoIR-3Pruebas de respuesta a incidentesun proceso operativoIR-4Tratamiento de incidentesun proceso operativoIR-5Monitorización de incidentesun proceso operativoIR-6Notificación de incidentesun proceso operativoIR-7Asistencia en respuesta a incidentesun proceso operativoIR-8Plan de respuesta a incidentesun proceso operativo
MA Mantenimiento
MA-1Políticas y procedimientosuna política de la organizaciónMA-2Mantenimiento controladoseguridad físicaMA-3Herramientas de mantenimientoseguridad físicaMA-4Mantenimiento remotoseguridad físicaMA-5Personal de mantenimientoseguridad físicaMA-6Mantenimiento oportunoseguridad física
MP Protección de soportes
MP-1Políticas y procedimientosuna política de la organizaciónMP-2Acceso a soportesseguridad físicaMP-3Marcado de soportesseguridad físicaMP-4Almacenamiento de soportesseguridad físicaMP-5Transporte de soportesseguridad físicaMP-6Saneamiento de soportesseguridad físicaMP-7Uso de soportesseguridad física
PE Protección física y ambiental
PE-1Políticas y procedimientosuna política de la organizaciónPE-2Autorizaciones de acceso físicoseguridad físicaPE-3Control de acceso físicoseguridad físicaPE-4Control de acceso a la transmisiónseguridad físicaPE-5Control de acceso a dispositivos de salidaseguridad físicaPE-6Monitorización del acceso físicoseguridad físicaPE-8Registros de acceso de visitantesseguridad físicaPE-9Equipos de energía y cableadoseguridad físicaPE-10Apagado de emergenciaseguridad físicaPE-11Energía de emergenciaseguridad físicaPE-12Iluminación de emergenciaseguridad físicaPE-13Protección contra incendiosseguridad físicaPE-14Controles ambientalesseguridad físicaPE-15Protección contra daños por aguaseguridad físicaPE-16Entrega y retiradaseguridad físicaPE-17Sitio de trabajo alternativoseguridad física
PL Planificación
PL-1Políticas y procedimientosuna política de la organizaciónPL-2Planes de seguridad y privacidad del sistemauna política de la organizaciónPL-4Reglas de comportamientouna política de la organizaciónPL-8Arquitecturas de seguridad y privacidaduna política de la organizaciónPL-10Selección de línea baseuna política de la organizaciónPL-11Adaptación de línea baseuna política de la organización
PS Seguridad del personal
PS-1Políticas y procedimientosuna política de la organizaciónPS-2Designación de riesgo por puestoun asunto de personas y RR. HH.PS-3Selección de personalun asunto de personas y RR. HH.PS-4Baja de personalun asunto de personas y RR. HH.PS-5Traslado de personalun asunto de personas y RR. HH.PS-6Acuerdos de accesoun asunto de personas y RR. HH.PS-7Seguridad del personal externoun asunto de personas y RR. HH.PS-8Sanciones al personalun asunto de personas y RR. HH.PS-9Descripciones de puestosun asunto de personas y RR. HH.
RA Evaluación de riesgos
RA-1Políticas y procedimientosuna política de la organizaciónRA-2Categorización de seguridaduna política de la organizaciónRA-3Evaluación de riesgosuna política de la organizaciónRA-7Respuesta al riesgouna política de la organizaciónRA-9Análisis de criticidaduna política de la organización
SA Adquisición de sistemas y servicios
SA-1Políticas y procedimientosuna política de la organizaciónSA-2Asignación de recursosuna política de la organizaciónSA-3Ciclo de vida de desarrollo del sistemauna política de la organizaciónSA-4Proceso de adquisicióncontratos y proveedoresSA-5Documentación del sistemauna política de la organizaciónSA-8Principios de ingeniería de seguridad y privacidaduna política de la organizaciónSA-9Servicios de sistemas externoscontratos y proveedoresSA-15Proceso, estándares y herramientas de desarrollouna política de la organizaciónSA-22Componentes del sistema sin soporteuna política de la organización
SC Protección de sistemas y comunicaciones
SC-1Políticas y procedimientosuna política de la organizaciónSC-2Separación de funciones del sistema y del usuarioun proceso operativoSC-4Información en recursos compartidos del sistemaun proceso operativoSC-5Protección contra denegación de servicioun proceso operativoSC-10Desconexión de redun proceso operativoSC-15Dispositivos y aplicaciones de trabajo colaborativoun proceso operativoSC-17Certificados de infraestructura de clave públicaun proceso operativoSC-18Código móvilun proceso operativoSC-20Servicio seguro de resolución de nombres/direcciones (fuente autoritativa)un proceso operativoSC-21Servicio seguro de resolución de nombres/direcciones (resolutor recursivo o de caché)un proceso operativoSC-22Arquitectura y aprovisionamiento del servicio de resolución de nombres/direccionesun proceso operativoSC-39Aislamiento de procesosun proceso operativo
SI Integridad de sistemas e información
SI-1Políticas y procedimientosuna política de la organizaciónSI-3Protección contra código maliciosoun proceso operativoSI-4Monitorización del sistemaun proceso operativoSI-5Alertas, avisos y directivas de seguridadun proceso operativoSI-8Protección contra spamun proceso operativoSI-16Protección de memoriaun proceso operativo
SR Gestión del riesgo de la cadena de suministro
SR-1Políticas y procedimientosuna política de la organizaciónSR-2Plan de gestión del riesgo de la cadena de suministrocontratos y proveedoresSR-3Controles y procesos de la cadena de suministrocontratos y proveedoresSR-5Estrategias, herramientas y métodos de adquisicióncontratos y proveedoresSR-6Evaluaciones y revisiones de proveedorescontratos y proveedoresSR-8Acuerdos de notificacióncontratos y proveedoresSR-10Inspección de sistemas o componentescontratos y proveedoresSR-11Autenticidad de componentescontratos y proveedoresSR-12Eliminación de componentescontratos y proveedores
Cómo usarlo en una auditoría
Tome la población de los registros de cambio (desde v1.4.0)
Cada fusión en una rama protegida y cada push directo del periodo, capturados de GitHub en el momento, es un registro sellado que puede exportar para el muestreo. Puede repetir la población de la rama por defecto a partir del historial de git; las ramas de producción designadas están planificadas para v1.4.1.
Lea la evidencia de código del periodo
Cada pull request lleva resultados de código sellados frente a las reglas del blueprint, fijados al commit y a la versión del conjunto de reglas vigente.
Pruebe una muestra
Para cada registro muestreado, compruebe sus resultados y luego verifique su firma y su lugar en la cadena sin conexión.
toevan audit verify --path evidence-clone --pub-key toevan.pub
Cómo se obtuvo cada dato
Cada dato de un registro y de un informe lleva una de seis etiquetas, para que su auditor sepa hasta qué punto puede fiarse.
- Recalculado
- Toevan lo calculó a partir del propio código o del historial de git.
- Repítalo con las mismas entradas y obtenga el mismo resultado.
- Informado + sellado
- GitHub lo informó; Toevan lo capturó en el evento y lo firmó.
- Fíese de ello tanto como se fía de GitHub. Cualquier cambio posterior es detectable.
- Declarado + sellado
- La organización lo declaró, como un cambio en lo que se comprueba; Toevan firmó la declaración y su historial.
- Vea quién declaró qué, cuándo, y cada cambio posterior.
- Registro de Toevan, sin sellar
- Guardado en la base de datos de Toevan pero no sellado en el libro, como una exención hoy. Ninguna firma lo protege.
- Trátelo como una declaración de Toevan y pida a la organización la aprobación que hay detrás.
- Consumido
- Tomado del registro firmado de otro sistema, como la procedencia de una compilación, y enlazado por commit o digest. Planificado.
- Compruebe el registro original de forma independiente.
- No capturado
- No había una fuente fiable. Toevan no lo infiere.
- Obténgalo de la organización por otros medios.
Véalo en un informe
El informe de muestra de evidencia de cambios muestra la evidencia tal como la recibe su auditor, con cada dato rotulado.
Abrir el informe de muestraPonga a prueba el mapeo en una auditoría real.
Traiga un repositorio y una auditoría próxima. Configuraremos el blueprint y guiaremos a su auditor por la verificación.