Carte des contrôles · Rév. 5, NIST SP 800-53B

FedRAMP Moderate

Réserver un pilote d’audit Voir un exemple de rapport

16 contrôles FedRAMP Moderate sur 37 que le code peut prouver, avec v1.4.0, plus 4 en appui

Preuve issue du code pour quatorze contrôles aujourd’hui, de l’application des accès à la protection au repos ; contrôle des changements de configuration dans v1.4.0.

Actif14
Prévu pour v1.4.02
En appui4
Prévu21
Votre organisation136

14 avec preuve issue du code aujourd’huiPreuve partielle, vérifiée à chaque pull request.
2 de plus dans v1.4.0Preuve de processus issue des fusions, approbations et changements de règles.
136 restent à votre organisationListés en entier ci-dessous, pour que rien ne soit sous-entendu.

FedRAMP évalue les contrôles NIST SP 800-53. Le contrôle des changements de configuration exige que les changements soient revus, approuvés et documentés, et que seules les personnes autorisées puissent les faire.

Aujourd’hui, le blueprint FedRAMP Moderate apporte une preuve issue du code pour quatorze contrôles. À partir de v1.4.0, les enregistrements de changement apportent une preuve pour CM-3 (contrôle des changements de configuration) et SA-10 (gestion de configuration par le développeur), avec une preuve d’appui pour la séparation des tâches, les restrictions d’accès aux changements et l’intégrité.

Toevan apporte des preuves pour des contrôles ; il ne les certifie jamais et ne prétend pas qu’un référentiel est couvert. Que les preuves suffisent relève du jugement de votre auditeur.

Actif14

Preuve issue du code dès aujourd’hui, scellée à chaque pull request. Toujours partielle : le contrôle exige aussi des éléments hors du code. Preuve issue du code dès aujourd’hui : les règles du blueprint FedRAMP Moderate vérifient une partie de ce point à chaque pull request.

AC-2
Gestion des comptes
AC Contrôle d’accès
AC-3
Application des accès
AC Contrôle d’accès
AC-4
Application des flux d’information
AC Contrôle d’accès
AC-6
Moindre privilège
AC Contrôle d’accès
AU-2
Journalisation des événements
AU Audit et imputabilité
AU-12
Génération des enregistrements d’audit
AU Audit et imputabilité
CM-2
Configuration de référence
CM Gestion de configuration
CM-6
Paramètres de configuration
CM Gestion de configuration
IA-5
Gestion des authentifiants
IA Identification et authentification
SA-11
Tests et évaluation par le développeur
SA Acquisition de systèmes et de services
Renforcé dans v1.4.0 : les checks requis à la fusion sont scellés par changement.
SC-7
Protection des frontières
SC Protection des systèmes et des communications
SC-8
Confidentialité et intégrité des transmissions
SC Protection des systèmes et des communications
SC-28
Protection de l’information au repos
SC Protection des systèmes et des communications
SI-2
Correction des failles
SI Intégrité des systèmes et de l’information

Prévu pour v1.4.02

Preuve de processus : pull requests fusionnées, approbations, checks requis, protection de branche, rulesets et contournements, scellés par changement.

CM-3
Contrôle des changements de configuration
CM Gestion de configuration
Preuve de processus : chaque pull request fusionnée est scellée en enregistrement de changement avec ses approbations sur le dernier commit, les checks requis à la fusion, la personne qui l’a fusionnée, ses signatures et les verdicts de code qu’elle portait.
SA-10
Gestion de configuration par le développeur
SA Acquisition de systèmes et de services
Preuve de processus : enregistrements de changement et changements de contrôles pour le dépôt source.

En appui4

Toevan enregistre des preuves connexes, aujourd’hui ou dans v1.4.0, mais l’obligation relève de l’organisation : elle n’est donc jamais comptée comme couverte.

AC-5
Séparation des tâchesPrévu pour v1.4.0
AC Contrôle d’accès
Séparation des tâches par changement : l’auteur face aux approbateurs, calculée à partir des identifiants de compte GitHub. L’obligation plus large reste organisationnelle.
AU-6
Revue, analyse et rapport des enregistrements d’audit
AU Audit et imputabilité
Preuve d’appui dès aujourd’hui : une règle enregistre des preuves liées à cette obligation. L’obligation elle-même relève d’un processus opérationnel.
CM-5
Restrictions d’accès aux changementsPrévu pour v1.4.0
CM Gestion de configuration
Qui peut modifier les branches protégées, et chaque contournement, scellés comme changements de contrôles. La gestion des accès elle-même reste organisationnelle.
SI-7
Intégrité des logiciels, firmwares et informationsPrévu pour v1.4.0
SI Intégrité des systèmes et de l’information
Faits de signature de commit sur chaque changement fusionné.

Prévu21

Peut être prouvé à partir du code ou de GitHub. La règle ou la correspondance n’est pas encore construite.

AC-7
Tentatives de connexion échouées
AC Contrôle d’accès
AC-11
Verrouillage de l’appareil
AC Contrôle d’accès
AC-12
Fin de session
AC Contrôle d’accès
AC-17
Accès à distance
AC Contrôle d’accès
AU-3
Contenu des enregistrements d’audit
AU Audit et imputabilité
AU-8
Horodatages
AU Audit et imputabilité
AU-9
Protection des informations d’audit
AU Audit et imputabilité
AU-11
Conservation des enregistrements d’audit
AU Audit et imputabilité
CM-7
Fonctionnalité minimale
CM Gestion de configuration
CP-9
Sauvegarde du système
CP Plan de contingence
IA-2
Identification et authentification (utilisateurs internes)
IA Identification et authentification
IA-4
Gestion des identifiants
IA Identification et authentification
IA-6
Retour d’authentification
IA Identification et authentification
IA-8
Identification et authentification (utilisateurs externes)
IA Identification et authentification
RA-5
Suivi et analyse des vulnérabilités
RA Évaluation des risques
SC-12
Établissement et gestion des clés cryptographiques
SC Protection des systèmes et des communications
SC-13
Protection cryptographique
SC Protection des systèmes et des communications
SC-23
Authenticité de session
SC Protection des systèmes et des communications
SI-10
Validation des entrées
SI Intégrité des systèmes et de l’information
SI-11
Gestion des erreurs
SI Intégrité des systèmes et de l’information
SI-12
Gestion et conservation de l’information
SI Intégrité des systèmes et de l’information

Votre organisation136

Politique, personnes, sécurité physique, contrats, procédure réglementaire, exploitation ou audit externe. Votre organisation en apporte la preuve.

Afficher les 136 contrôles

AC Contrôle d’accès

AC-1Politique et procéduresde la politique de l’organisation
AC-8Notification d’usage du systèmed’un processus opérationnel
AC-14Actions permises sans identification ni authentificationd’un processus opérationnel
AC-18Accès sans fild’un processus opérationnel
AC-19Contrôle d’accès des appareils mobilesd’un processus opérationnel
AC-20Usage de systèmes externesd’un processus opérationnel
AC-21Partage d’informationsd’un processus opérationnel
AC-22Contenu accessible publiquementd’un processus opérationnel

AT Sensibilisation et formation

AT-1Politique et procéduresde la politique de l’organisation
AT-2Formation et sensibilisationdes personnes et des RH
AT-3Formation par rôledes personnes et des RH
AT-4Registres de formationdes personnes et des RH

AU Audit et imputabilité

AU-1Politique et procéduresde la politique de l’organisation
AU-4Capacité de stockage des journaux d’auditd’un processus opérationnel
AU-5Réponse aux défaillances de journalisationd’un processus opérationnel
AU-7Réduction des enregistrements et génération de rapportsd’un processus opérationnel

CA Évaluation, autorisation et surveillance

CA-1Politique et procéduresde la politique de l’organisation
CA-2Évaluations des contrôlesd’une évaluation externe
CA-3Échange d’informationsd’une évaluation externe
CA-5Plan d’action et jalonsd’une évaluation externe
CA-6Autorisationd’une évaluation externe
CA-7Surveillance continued’une évaluation externe
CA-9Connexions internes du systèmed’une évaluation externe

CM Gestion de configuration

CM-1Politique et procéduresde la politique de l’organisation
CM-4Analyses d’impactd’un processus opérationnel
CM-8Inventaire des composants du systèmed’un processus opérationnel
CM-9Plan de gestion de configurationd’un processus opérationnel
CM-10Restrictions d’usage des logicielsd’un processus opérationnel
CM-11Logiciels installés par l’utilisateurd’un processus opérationnel
CM-12Localisation de l’informationd’un processus opérationnel

CP Plan de contingence

CP-1Politique et procéduresde la politique de l’organisation
CP-2Plan de continuitéd’un processus opérationnel
CP-3Formation à la continuitéd’un processus opérationnel
CP-4Test du plan de continuitéd’un processus opérationnel
CP-6Site de stockage alternatifd’un processus opérationnel
CP-7Site de traitement alternatifd’un processus opérationnel
CP-8Services de télécommunicationsd’un processus opérationnel
CP-10Restauration et reconstitution du systèmed’un processus opérationnel

IA Identification et authentification

IA-1Politique et procéduresde la politique de l’organisation
IA-3Identification et authentification des appareilsd’un processus opérationnel
IA-7Authentification des modules cryptographiquesd’un processus opérationnel
IA-11Réauthentificationd’un processus opérationnel
IA-12Vérification d’identitéd’un processus opérationnel

IR Réponse aux incidents

IR-1Politique et procéduresde la politique de l’organisation
IR-2Formation à la réponse aux incidentsd’un processus opérationnel
IR-3Test de la réponse aux incidentsd’un processus opérationnel
IR-4Traitement des incidentsd’un processus opérationnel
IR-5Suivi des incidentsd’un processus opérationnel
IR-6Signalement des incidentsd’un processus opérationnel
IR-7Assistance à la réponse aux incidentsd’un processus opérationnel
IR-8Plan de réponse aux incidentsd’un processus opérationnel

MA Maintenance

MA-1Politique et procéduresde la politique de l’organisation
MA-2Maintenance contrôléede la sécurité physique
MA-3Outils de maintenancede la sécurité physique
MA-4Maintenance à distancede la sécurité physique
MA-5Personnel de maintenancede la sécurité physique
MA-6Maintenance en temps voulude la sécurité physique

MP Protection des supports

MP-1Politique et procéduresde la politique de l’organisation
MP-2Accès aux supportsde la sécurité physique
MP-3Marquage des supportsde la sécurité physique
MP-4Stockage des supportsde la sécurité physique
MP-5Transport des supportsde la sécurité physique
MP-6Assainissement des supportsde la sécurité physique
MP-7Usage des supportsde la sécurité physique

PE Protection physique et environnementale

PE-1Politique et procéduresde la politique de l’organisation
PE-2Autorisations d’accès physiquede la sécurité physique
PE-3Contrôle d’accès physiquede la sécurité physique
PE-4Contrôle d’accès aux transmissionsde la sécurité physique
PE-5Contrôle d’accès aux périphériques de sortiede la sécurité physique
PE-6Surveillance de l’accès physiquede la sécurité physique
PE-8Registres d’accès des visiteursde la sécurité physique
PE-9Équipements électriques et câblagede la sécurité physique
PE-10Arrêt d’urgencede la sécurité physique
PE-11Alimentation de secoursde la sécurité physique
PE-12Éclairage de secoursde la sécurité physique
PE-13Protection incendiede la sécurité physique
PE-14Contrôles environnementauxde la sécurité physique
PE-15Protection contre les dégâts des eauxde la sécurité physique
PE-16Livraison et retraitde la sécurité physique
PE-17Site de travail alternatifde la sécurité physique

PL Planification

PL-1Politique et procéduresde la politique de l’organisation
PL-2Plans de sécurité et de confidentialité du systèmede la politique de l’organisation
PL-4Règles de conduitede la politique de l’organisation
PL-8Architectures de sécurité et de confidentialitéde la politique de l’organisation
PL-10Choix de la référencede la politique de l’organisation
PL-11Adaptation de la référencede la politique de l’organisation

PS Sécurité du personnel

PS-1Politique et procéduresde la politique de l’organisation
PS-2Désignation du risque par postedes personnes et des RH
PS-3Vérification du personneldes personnes et des RH
PS-4Départ du personneldes personnes et des RH
PS-5Mutation du personneldes personnes et des RH
PS-6Accords d’accèsdes personnes et des RH
PS-7Sécurité du personnel externedes personnes et des RH
PS-8Sanctions du personneldes personnes et des RH
PS-9Descriptions de postedes personnes et des RH

RA Évaluation des risques

RA-1Politique et procéduresde la politique de l’organisation
RA-2Catégorisation de sécuritéde la politique de l’organisation
RA-3Évaluation des risquesde la politique de l’organisation
RA-7Réponse aux risquesde la politique de l’organisation
RA-9Analyse de criticitéde la politique de l’organisation

SA Acquisition de systèmes et de services

SA-1Politique et procéduresde la politique de l’organisation
SA-2Allocation des ressourcesde la politique de l’organisation
SA-3Cycle de vie du développement systèmede la politique de l’organisation
SA-4Processus d’acquisitiondes contrats et des fournisseurs
SA-5Documentation du systèmede la politique de l’organisation
SA-8Principes d’ingénierie de sécurité et de confidentialitéde la politique de l’organisation
SA-9Services de systèmes externesdes contrats et des fournisseurs
SA-15Processus, normes et outils de développementde la politique de l’organisation
SA-22Composants système non pris en chargede la politique de l’organisation

SC Protection des systèmes et des communications

SC-1Politique et procéduresde la politique de l’organisation
SC-2Séparation des fonctions système et utilisateurd’un processus opérationnel
SC-4Information dans les ressources partagéesd’un processus opérationnel
SC-5Protection contre le déni de serviced’un processus opérationnel
SC-10Déconnexion du réseaud’un processus opérationnel
SC-15Appareils et applications collaboratifsd’un processus opérationnel
SC-17Certificats d’infrastructure à clé publiqued’un processus opérationnel
SC-18Code mobiled’un processus opérationnel
SC-20Résolution de noms sécurisée (source faisant autorité)d’un processus opérationnel
SC-21Résolution de noms sécurisée (résolveur récursif ou cache)d’un processus opérationnel
SC-22Architecture et provisionnement de la résolution de nomsd’un processus opérationnel
SC-39Isolation des processusd’un processus opérationnel

SI Intégrité des systèmes et de l’information

SI-1Politique et procéduresde la politique de l’organisation
SI-3Protection contre le code malveillantd’un processus opérationnel
SI-4Surveillance du systèmed’un processus opérationnel
SI-5Alertes, avis et directives de sécuritéd’un processus opérationnel
SI-8Protection contre le spamd’un processus opérationnel
SI-16Protection de la mémoired’un processus opérationnel

SR Gestion du risque de chaîne d’approvisionnement

SR-1Politique et procéduresde la politique de l’organisation
SR-2Plan de gestion du risque de chaîne d’approvisionnementdes contrats et des fournisseurs
SR-3Contrôles et processus de la chaîne d’approvisionnementdes contrats et des fournisseurs
SR-5Stratégies, outils et méthodes d’acquisitiondes contrats et des fournisseurs
SR-6Évaluations et revues des fournisseursdes contrats et des fournisseurs
SR-8Accords de notificationdes contrats et des fournisseurs
SR-10Inspection des systèmes ou composantsdes contrats et des fournisseurs
SR-11Authenticité des composantsdes contrats et des fournisseurs
SR-12Mise au rebut des composantsdes contrats et des fournisseurs

L’utiliser dans un audit

Prenez la population dans les enregistrements de changement (à partir de v1.4.0)
Chaque fusion dans une branche protégée et chaque push direct de la période, capturés depuis GitHub au fil de l’eau, forment un enregistrement scellé que vous pouvez exporter pour échantillonner. Vous pouvez refaire la population de la branche par défaut à partir de l’historique git ; les branches de production désignées sont prévues pour v1.4.1.
Lisez les preuves issues du code pour la période
Chaque pull request porte des résultats de code scellés par rapport aux règles du blueprint, rattachés au commit et à la version du jeu de règles en vigueur.
Testez un échantillon
Pour chaque enregistrement échantillonné, vérifiez ses résultats, puis sa signature et sa place dans la chaîne, hors ligne.
$ toevan audit verify --path evidence-clone --pub-key toevan.pub

Comment chaque fait a été obtenu

Chaque fait d’un enregistrement et d’un rapport porte l’une de six étiquettes, pour que votre auditeur sache dans quelle mesure s’y fier.

Recalculé: Toevan l’a calculé lui-même à partir du code ou de l’historique git.; Le refaire à partir des mêmes entrées et obtenir le même résultat.
Rapporté + scellé: GitHub l’a rapporté ; Toevan l’a capturé au moment de l’événement et signé.; S’y fier dans la mesure où vous vous fiez à GitHub. Toute modification ultérieure est détectable.
Déclaré + scellé: L’organisation l’a déclaré, par exemple un changement de ce qui est vérifié ; Toevan a signé la déclaration et son historique.; Voir qui a déclaré quoi, quand, et chaque modification ultérieure.
Enregistrement Toevan, non scellé: Conservé dans la base de données de Toevan mais non scellé dans le registre, comme une dérogation aujourd’hui. Aucune signature ne le protège.; Le considérer comme une déclaration de Toevan et demander à l’organisation l’approbation qui la fonde.
Consommé: Repris de l’enregistrement signé d’un autre système, comme une provenance de build, et relié par commit ou empreinte. Prévu.; Vérifier l’enregistrement d’origine de façon indépendante.
Non capturé: Aucune source fiable n’était disponible. Toevan ne le déduit pas.; L’obtenir auprès de l’organisation par d’autres moyens.

Le voir dans un rapport

L’exemple de rapport de preuves de changement montre les preuves telles que votre auditeur les reçoit, chaque fait étant étiqueté.

Ouvrir l’exemple de rapport

Testez la correspondance sur un vrai audit.

Apportez un dépôt et un audit à venir. Nous configurons le blueprint et guidons votre auditeur dans la vérification.