Una auditoría de certificación o de seguimiento pide evidencia de que los controles del Annex A están implantados y en funcionamiento. En ingeniería, eso significa la gestión de cambios y el desarrollo seguro.
Hoy el blueprint de ISO/IEC 27001 aporta evidencia de código para once controles, desde el manejo de secretos hasta la codificación segura. Desde v1.4.0, la evidencia de proceso añade aprobaciones de cambios, fases de compilación seguras, pruebas de seguridad de releases, límites de acceso al código y configuraciones aprobadas. Los controles organizativos, de personas y físicos quedan en su SGSI.
Toevan aporta evidencia para controles; nunca los certifica ni afirma que un marco esté cubierto. Si la evidencia es suficiente lo juzga su auditor.
Los controles se muestran por id con los nombres cortos propios de Toevan. Los títulos oficiales y el texto de los requisitos pertenecen al editor del marco.
Activo11
Evidencia de código hoy, sellada en cada pull request. Siempre parcial: el control también exige cosas fuera del código. Evidencia de código hoy: las reglas del blueprint ISO/IEC 27001 comprueban parte de esto en cada pull request.
A.5.15Reglas de acceso
A.5 Temas organizativos
A.5.17Manejo de secretos
A.5 Temas organizativos
A.8.2Límites de cuentas privilegiadas
A.8 Temas tecnológicos
A.8.3Límites de lectura de datos
A.8 Temas tecnológicos
A.8.5Robustez del inicio de sesión
A.8 Temas tecnológicos
A.8.8Corrección de fallos de software
A.8 Temas tecnológicos
A.8.12Vías de fuga de datos
A.8 Temas tecnológicos
A.8.20Salvaguardas de red
A.8 Temas tecnológicos
A.8.22Zonas de red
A.8 Temas tecnológicos
A.8.24Cifrado y claves
A.8 Temas tecnológicos
A.8.28Hábitos de codificación segura
A.8 Temas tecnológicos
Próximamente en v1.4.05
Evidencia de proceso: pull requests fusionados, aprobaciones, checks obligatorios, protección de ramas, rulesets y bypasses, sellada por cada cambio.
A.8.4Límites de acceso al código
A.8 Temas tecnológicos
Evidencia de proceso: protección de ramas, rulesets y cada bypass de una rama protegida, sellados como cambios de control.
A.8.9Configuraciones aprobadas
A.8 Temas tecnológicos
Evidencia de proceso: cambios en los rulesets del repositorio y en la protección de ramas, sellados con su estado anterior y posterior.
A.8.25Fases de compilación seguras
A.8 Temas tecnológicos
Evidencia de proceso: las revisiones y los checks obligatorios al fusionar muestran que el proceso de desarrollo se aplicó a cada cambio.
A.8.29Pruebas de seguridad de releases
A.8 Temas tecnológicos
Evidencia de proceso: los checks de seguridad obligatorios superados al fusionar, por cambio.
A.8.32Aprobaciones de cambios
A.8 Temas tecnológicos
Evidencia de proceso: cada pull request fusionado se sella como un registro de cambio con sus aprobaciones sobre el commit final, los checks obligatorios al fusionar, quién lo fusionó, sus firmas y los veredictos de código que llevaba.
De apoyo2
Toevan registra evidencia relacionada, hoy o en v1.4.0, pero la obligación es organizativa, así que nunca cuenta como cubierta.
A.5.3Separación de funcionesPróximamente en v1.4.0
A.5 Temas organizativos
Separación de funciones por cambio: el autor frente a los aprobadores, calculado a partir de los ids de cuenta de GitHub. La obligación más amplia sigue siendo organizativa.
A.5.32Registros de derechos de software
A.5 Temas organizativos
Evidencia de apoyo hoy: una regla registra evidencia relacionada con esta obligación. La obligación en sí es un trámite regulatorio.
Planificado10
Se puede evidenciar desde el código o GitHub. La regla o el mapeo aún no están construidos.
A.5.16Ciclo de vida de identidades
A.5 Temas organizativos
A.5.18Revisión de permisos
A.5 Temas organizativos
A.8.10Eliminación de datos
A.8 Temas tecnológicos
A.8.11Enmascaramiento de datos sensibles
A.8 Temas tecnológicos
A.8.13Copias de seguridad
A.8 Temas tecnológicos
A.8.15Registro de actividad
A.8 Temas tecnológicos
A.8.26Exigencias de seguridad de aplicaciones
A.8 Temas tecnológicos
A.8.27Hábitos de diseño seguro
A.8 Temas tecnológicos
A.8.31Separación de pruebas y producción
A.8 Temas tecnológicos
A.8.33Cuidado de datos de prueba
A.8 Temas tecnológicos
Su organización65
Política, personas, seguridad física, contratos, trámites regulatorios, operaciones o auditoría externa. Su organización aporta la evidencia.
Mostrar los 65 controles
A.5 Temas organizativos
A.5.1Conjunto de políticas escritasuna política de la organizaciónA.5.2Responsables de roles de seguridaduna política de la organizaciónA.5.4Respaldo de la direcciónuna política de la organizaciónA.5.5Contactos con autoridadesuna política de la organizaciónA.5.6Contactos con grupos de expertosuna política de la organizaciónA.5.7Seguimiento de noticias de atacantesun proceso operativoA.5.8Pasos de seguridad en proyectosuna política de la organizaciónA.5.9Lista de activos con responsableuna política de la organizaciónA.5.10Reglas de uso de activosuna política de la organizaciónA.5.11Devolución de activosuna política de la organizaciónA.5.12Clasificación por sensibilidaduna política de la organizaciónA.5.13Marcado por sensibilidaduna política de la organizaciónA.5.14Reglas de transferencia de datosuna política de la organizaciónA.5.19Exigencias de seguridad a proveedorescontratos y proveedoresA.5.20Cláusulas de acuerdos con proveedorescontratos y proveedoresA.5.21Controles de la cadena de suministrocontratos y proveedoresA.5.22Revisión del servicio de proveedorescontratos y proveedoresA.5.23Reglas de uso de la nubeuna política de la organizaciónA.5.24Preparación ante incidentesun proceso operativoA.5.25Clasificación de eventos por gravedadun proceso operativoA.5.26Pasos de respuesta a incidentesun proceso operativoA.5.27Aprendizaje de incidentesun proceso operativoA.5.28Recogida de evidencia de incidentesun proceso operativoA.5.29Planes de seguridad ante interrupcionesun proceso operativoA.5.30Preparación para la recuperaciónun proceso operativoA.5.31Seguimiento de obligaciones legalesun trámite regulatorioA.5.33Custodia de registrosun trámite regulatorioA.5.34Obligaciones de privacidadun trámite regulatorioA.5.35Revisión independienteuna evaluación externaA.5.36Revisión del cumplimiento de políticasuna evaluación externaA.5.37Pasos operativos escritosuna política de la organización
A.6 Temas de personas
A.6.1Antecedentes al contratarun asunto de personas y RR. HH.A.6.2Deberes de seguridad por escritoun asunto de personas y RR. HH.A.6.3Formación en concienciación de seguridadun asunto de personas y RR. HH.A.6.4Consecuencias de incumplir las reglasun asunto de personas y RR. HH.A.6.5Deberes tras la salidaun asunto de personas y RR. HH.A.6.6Compromisos de confidencialidadun asunto de personas y RR. HH.A.6.7Salvaguardas del trabajo remotouna política de la organizaciónA.6.8Avisos de problemas del personalun proceso operativo
A.7 Temas físicos
A.7.1Perímetros seguros de instalacionesseguridad físicaA.7.2Controles de entrada a instalacionesseguridad físicaA.7.3Salas con llaveseguridad físicaA.7.4Vigilancia de instalacionesseguridad físicaA.7.5Protección contra incendio e inundaciónseguridad físicaA.7.6Reglas de zonas segurasseguridad físicaA.7.7Escritorios despejadosseguridad físicaA.7.8Ubicación de equiposseguridad físicaA.7.9Salvaguardas de activos fuera de sedeseguridad físicaA.7.10Cuidado de unidades de discoseguridad físicaA.7.11Respaldo ante cortes de energíaseguridad físicaA.7.12Protección del cableadoseguridad físicaA.7.13Mantenimiento de equiposseguridad físicaA.7.14Borrado seguro de equiposseguridad física
A.8 Temas tecnológicos
A.8.1Protección de dispositivos de usuarioun proceso operativoA.8.6Planificación de capacidadun proceso operativoA.8.7Defensa frente a malwareun proceso operativoA.8.14Capacidad de reservaun proceso operativoA.8.16Vigilancia de comportamiento inusualun proceso operativoA.8.17Sincronización de relojesun proceso operativoA.8.18Límites a programas de utilidadun proceso operativoA.8.19Aprobación de software en producciónun proceso operativoA.8.21Reglas de servicios de redun proceso operativoA.8.23Filtrado de tráfico webun proceso operativoA.8.30Supervisión de desarrolladores externoscontratos y proveedoresA.8.34Salvaguardas de auditoríauna evaluación externa
Cómo usarlo en una auditoría
Tome la población de los registros de cambio (desde v1.4.0)
Cada fusión en una rama protegida y cada push directo del periodo, capturados de GitHub en el momento, es un registro sellado que puede exportar para el muestreo. Puede repetir la población de la rama por defecto a partir del historial de git; las ramas de producción designadas están planificadas para v1.4.1.
Lea la evidencia de código del periodo
Cada pull request lleva resultados de código sellados frente a las reglas del blueprint, fijados al commit y a la versión del conjunto de reglas vigente.
Pruebe una muestra
Para cada registro muestreado, compruebe sus resultados y luego verifique su firma y su lugar en la cadena sin conexión.
toevan audit verify --path evidence-clone --pub-key toevan.pub
Cómo se obtuvo cada dato
Cada dato de un registro y de un informe lleva una de seis etiquetas, para que su auditor sepa hasta qué punto puede fiarse.
- Recalculado
- Toevan lo calculó a partir del propio código o del historial de git.
- Repítalo con las mismas entradas y obtenga el mismo resultado.
- Informado + sellado
- GitHub lo informó; Toevan lo capturó en el evento y lo firmó.
- Fíese de ello tanto como se fía de GitHub. Cualquier cambio posterior es detectable.
- Declarado + sellado
- La organización lo declaró, como un cambio en lo que se comprueba; Toevan firmó la declaración y su historial.
- Vea quién declaró qué, cuándo, y cada cambio posterior.
- Registro de Toevan, sin sellar
- Guardado en la base de datos de Toevan pero no sellado en el libro, como una exención hoy. Ninguna firma lo protege.
- Trátelo como una declaración de Toevan y pida a la organización la aprobación que hay detrás.
- Consumido
- Tomado del registro firmado de otro sistema, como la procedencia de una compilación, y enlazado por commit o digest. Planificado.
- Compruebe el registro original de forma independiente.
- No capturado
- No había una fuente fiable. Toevan no lo infiere.
- Obténgalo de la organización por otros medios.
Véalo en un informe
El informe de muestra de evidencia de cambios muestra la evidencia tal como la recibe su auditor, con cada dato rotulado.
Abrir el informe de muestraPonga a prueba el mapeo en una auditoría real.
Traiga un repositorio y una auditoría próxima. Configuraremos el blueprint y guiaremos a su auditor por la verificación.