Mapa de controles · Rev 5, NIST SP 800-53B

NIST 800-53 Moderate

Evidencia de código para controles desde la aplicación del acceso hasta la protección en reposo, y control de cambios de configuración desde cada fusión.

Reserve un piloto de auditoría Ver un informe de muestra

NIST SP 800-53 Rev. 5 · línea base Moderate (SP 800-53B)37 controles en el alcance · según el mapeo de v1.4.1

Código 12
Proceso 2
Planificado 23

Evidencia de código

12controles comprobados en cada pull request

Activo (proceso)

2de fusiones, aprobaciones, cambios de reglas y despliegues y releases registrados por GitHub

Planificado

23se puede evidenciar desde el código o GitHub; aún no construido

Controles de nivel organizativo

Políticas, personas, proveedores, seguridad física y similares, enumerados más abajo.Toevan aporta evidencia de apoyo para 4 de ellos.Gestionados por los procesos de su organización

NIST SP 800-53 Moderate es la línea base sobre la que se construye FedRAMP; Toevan mapea la línea base sin las adiciones de FedRAMP. El control de cambios de configuración exige que los cambios se revisen, aprueben y documenten, y que solo personas autorizadas puedan hacerlos.

El blueprint de NIST 800-53 Moderate aporta evidencia de código para controles desde la aplicación del acceso hasta la protección en reposo. Los registros de cambio aportan evidencia para CM-3 Configuration Change Control y SA-10 Developer Configuration Management, con evidencia de apoyo para la separación de funciones, las restricciones de acceso para el cambio y la integridad.

Toevan aporta evidencia para controles; nunca los certifica ni afirma que un marco esté cubierto. Si la evidencia es suficiente lo juzga su auditor.

Evidencia de código12

Sellada en cada pull request. Siempre parcial: el control también exige cosas fuera del código. Las reglas del blueprint NIST 800-53 Moderate comprueban parte de cada uno en cada pull request.

AC-2Gestión de cuentasAC Control de acceso
AC-3Aplicación del accesoAC Control de acceso
AC-4Aplicación del flujo de informaciónAC Control de acceso
AC-6Mínimo privilegioAC Control de acceso
CM-2Configuración baseCM Gestión de configuración
CM-6Ajustes de configuraciónCM Gestión de configuración
IA-5Gestión de autenticadoresIA Identificación y autenticación
SA-11Pruebas y evaluación del desarrolladorSA Adquisición de sistemas y servicios
SC-7Protección del perímetroSC Protección de sistemas y comunicaciones
SC-8Confidencialidad e integridad de la transmisiónSC Protección de sistemas y comunicaciones
SC-28Protección de la información en reposoSC Protección de sistemas y comunicaciones
SI-2Corrección de fallosSI Integridad de sistemas e información

Activo (proceso)2

Pull requests fusionados, aprobaciones, checks obligatorios, protección de ramas, rulesets y bypasses, y despliegues y releases registrados por GitHub, cada uno sellado.

CM-3Control de cambios de configuraciónCM Gestión de configuraciónEvidencia de proceso: cada pull request fusionado en la rama por defecto se sella como un registro de cambio con sus aprobaciones sobre el commit final, los checks obligatorios al fusionar, quién lo fusionó, sus firmas y los veredictos de código que llevaba.
SA-10Gestión de configuración del desarrolladorSA Adquisición de sistemas y serviciosEvidencia de proceso: registros de cambio y cambios de control del repositorio de código fuente.

Registro de cambio rec_5b81d4e

datos de ejemplo

Pull request payments-api #1921 · Add tenant check to refund handlerInformado + sellado

Aprobaciones 9d07…e3a4, c58f…71d0 · ambas sobre el commit final e81b2d0Informado + sellado

Independiente del autor Sí, por id de cuenta de GitHubRecalculado

Checks obligatorios ci/test ✓ · ci/lint ✓ · toevan/gate ✓Informado + sellado

Reglas vigentes main-protection: 2 aprobaciones, checks obligatorios, commits firmadosInformado + sellado

De apoyo4

Toevan registra evidencia relacionada, pero la obligación es organizativa, así que nunca cuenta como cubierta.

AC-5Separación de funcionesAC Control de accesoSeparación de funciones por cambio: el autor frente a los aprobadores, calculado a partir de los ids de cuenta de GitHub. La obligación más amplia sigue siendo organizativa.
CM-5Restricciones de acceso para cambiosCM Gestión de configuraciónQuién puede modificar ramas protegidas, y cada bypass, sellados como cambios de control. La gestión de accesos en sí sigue siendo organizativa.
SI-7Integridad de software, firmware e informaciónSI Integridad de sistemas e informaciónDatos de firma de commits en cada cambio fusionado.
SR-11Autenticidad de componentesSR Gestión del riesgo de la cadena de suministroEvidencia de apoyo: una atestación de GitHub que nombra el commit. Toevan no verifica la firma de la atestación. No se muestra la autenticidad de los componentes de terceros.

Planificado23

Se puede evidenciar desde el código o GitHub. Todavía ninguna regla los comprueba; cada uno está planificado y ninguno cuenta hoy como evidencia.

AC-7Intentos fallidos de inicio de sesiónAC Control de acceso
AC-11Bloqueo de dispositivoAC Control de acceso
AC-12Cierre de sesiónAC Control de acceso
AC-17Acceso remotoAC Control de acceso
AU-2Registro de eventosAU Auditoría y responsabilidad
AU-3Contenido de los registros de auditoríaAU Auditoría y responsabilidad
AU-8Marcas de tiempoAU Auditoría y responsabilidad
AU-9Protección de la información de auditoríaAU Auditoría y responsabilidad
AU-11Conservación de registros de auditoríaAU Auditoría y responsabilidad
AU-12Generación de registros de auditoríaAU Auditoría y responsabilidad
CM-7Funcionalidad mínimaCM Gestión de configuración
CP-9Copia de seguridad del sistemaCP Planificación de contingencias
IA-2Identificación y autenticación (usuarios de la organización)IA Identificación y autenticación
IA-4Gestión de identificadoresIA Identificación y autenticación
IA-6Retroalimentación de autenticaciónIA Identificación y autenticación
IA-8Identificación y autenticación (usuarios externos a la organización)IA Identificación y autenticación
RA-5Monitorización y análisis de vulnerabilidadesRA Evaluación de riesgos
SC-12Establecimiento y gestión de claves criptográficasSC Protección de sistemas y comunicaciones
SC-13Protección criptográficaSC Protección de sistemas y comunicaciones
SC-23Autenticidad de la sesiónSC Protección de sistemas y comunicaciones
SI-10Validación de entradas de informaciónSI Integridad de sistemas e información
SI-11Gestión de erroresSI Integridad de sistemas e información
SI-12Gestión y conservación de la informaciónSI Integridad de sistemas e información

Controles de nivel organizativo

Los controles de nivel organizativo (políticas, personas, proveedores, seguridad física y similares) siguen en manos del propio proceso de su organización; Toevan no se ocupa de ellos.

Mostrar la lista

AC Control de acceso

AC-1Políticas y procedimientosuna política de la organización

AC-8Aviso de uso del sistemaun proceso operativo

AC-14Acciones permitidas sin identificación ni autenticaciónun proceso operativo

AC-18Acceso inalámbricoun proceso operativo

AC-19Control de acceso para dispositivos móvilesun proceso operativo

AC-20Uso de sistemas externosun proceso operativo

AC-21Intercambio de informaciónun proceso operativo

AC-22Contenido de acceso públicoun proceso operativo

AT Concienciación y formación

AT-1Políticas y procedimientosuna política de la organización

AT-2Formación y concienciaciónun asunto de personas y RR. HH.

AT-3Formación por rolun asunto de personas y RR. HH.

AT-4Registros de formaciónun asunto de personas y RR. HH.

AU Auditoría y responsabilidad

AU-1Políticas y procedimientosuna política de la organización

AU-4Capacidad de almacenamiento de logs de auditoríaun proceso operativo

AU-5Respuesta a fallos del registro de auditoríaun proceso operativo

AU-6Revisión, análisis y reporte de registros de auditoríaun proceso operativo

AU-7Reducción de registros de auditoría y generación de informesun proceso operativo

CA Evaluación, autorización y monitorización

CA-1Políticas y procedimientosuna política de la organización

CA-2Evaluaciones de controlesuna evaluación externa

CA-3Intercambio de informaciónuna evaluación externa

CA-5Plan de acción y hitosuna evaluación externa

CA-6Autorizaciónuna evaluación externa

CA-7Monitorización continuauna evaluación externa

CA-9Conexiones internas del sistemauna evaluación externa

CM Gestión de configuración

CM-1Políticas y procedimientosuna política de la organización

CM-4Análisis de impactoun proceso operativo

CM-8Inventario de componentes del sistemaun proceso operativo

CM-9Plan de gestión de configuraciónun proceso operativo

CM-10Restricciones de uso de softwareun proceso operativo

CM-11Software instalado por el usuarioun proceso operativo

CM-12Ubicación de la informaciónun proceso operativo

CP Planificación de contingencias

CP-1Políticas y procedimientosuna política de la organización

CP-2Plan de contingenciaun proceso operativo

CP-3Formación de contingenciaun proceso operativo

CP-4Pruebas del plan de contingenciaun proceso operativo

CP-6Sitio alternativo de almacenamientoun proceso operativo

CP-7Sitio alternativo de procesamientoun proceso operativo

CP-8Servicios de telecomunicacionesun proceso operativo

CP-10Recuperación y reconstitución del sistemaun proceso operativo

IA Identificación y autenticación

IA-1Políticas y procedimientosuna política de la organización

IA-3Identificación y autenticación de dispositivosun proceso operativo

IA-7Autenticación de módulos criptográficosun proceso operativo

IA-11Reautenticaciónun proceso operativo

IA-12Verificación de identidadun proceso operativo

IR Respuesta a incidentes

IR-1Políticas y procedimientosuna política de la organización

IR-2Formación en respuesta a incidentesun proceso operativo

IR-3Pruebas de respuesta a incidentesun proceso operativo

IR-4Tratamiento de incidentesun proceso operativo

IR-5Monitorización de incidentesun proceso operativo

IR-6Notificación de incidentesun proceso operativo

IR-7Asistencia en respuesta a incidentesun proceso operativo

IR-8Plan de respuesta a incidentesun proceso operativo

MA Mantenimiento

MA-1Políticas y procedimientosuna política de la organización

MA-2Mantenimiento controladoseguridad física

MA-3Herramientas de mantenimientoseguridad física

MA-4Mantenimiento remotoseguridad física

MA-5Personal de mantenimientoseguridad física

MA-6Mantenimiento oportunoseguridad física

MP Protección de soportes

MP-1Políticas y procedimientosuna política de la organización

MP-2Acceso a soportesseguridad física

MP-3Marcado de soportesseguridad física

MP-4Almacenamiento de soportesseguridad física

MP-5Transporte de soportesseguridad física

MP-6Saneamiento de soportesseguridad física

MP-7Uso de soportesseguridad física

PE Protección física y ambiental

PE-1Políticas y procedimientosuna política de la organización

PE-2Autorizaciones de acceso físicoseguridad física

PE-3Control de acceso físicoseguridad física

PE-4Control de acceso a la transmisiónseguridad física

PE-5Control de acceso a dispositivos de salidaseguridad física

PE-6Monitorización del acceso físicoseguridad física

PE-8Registros de acceso de visitantesseguridad física

PE-9Equipos de energía y cableadoseguridad física

PE-10Apagado de emergenciaseguridad física

PE-11Energía de emergenciaseguridad física

PE-12Iluminación de emergenciaseguridad física

PE-13Protección contra incendiosseguridad física

PE-14Controles ambientalesseguridad física

PE-15Protección contra daños por aguaseguridad física

PE-16Entrega y retiradaseguridad física

PE-17Sitio de trabajo alternativoseguridad física

PL Planificación

PL-1Políticas y procedimientosuna política de la organización

PL-2Planes de seguridad y privacidad del sistemauna política de la organización

PL-4Reglas de comportamientouna política de la organización

PL-8Arquitecturas de seguridad y privacidaduna política de la organización

PL-10Selección de línea baseuna política de la organización

PL-11Adaptación de línea baseuna política de la organización

PS Seguridad del personal

PS-1Políticas y procedimientosuna política de la organización

PS-2Designación de riesgo por puestoun asunto de personas y RR. HH.

PS-3Selección de personalun asunto de personas y RR. HH.

PS-4Baja de personalun asunto de personas y RR. HH.

PS-5Traslado de personalun asunto de personas y RR. HH.

PS-6Acuerdos de accesoun asunto de personas y RR. HH.

PS-7Seguridad del personal externoun asunto de personas y RR. HH.

PS-8Sanciones al personalun asunto de personas y RR. HH.

PS-9Descripciones de puestosun asunto de personas y RR. HH.

RA Evaluación de riesgos

RA-1Políticas y procedimientosuna política de la organización

RA-2Categorización de seguridaduna política de la organización

RA-3Evaluación de riesgosuna política de la organización

RA-7Respuesta al riesgouna política de la organización

RA-9Análisis de criticidaduna política de la organización

SA Adquisición de sistemas y servicios

SA-1Políticas y procedimientosuna política de la organización

SA-2Asignación de recursosuna política de la organización

SA-3Ciclo de vida de desarrollo del sistemauna política de la organización

SA-4Proceso de adquisicióncontratos y proveedores

SA-5Documentación del sistemauna política de la organización

SA-8Principios de ingeniería de seguridad y privacidaduna política de la organización

SA-9Servicios de sistemas externoscontratos y proveedores

SA-15Proceso, estándares y herramientas de desarrollouna política de la organización

SA-22Componentes del sistema sin soporteuna política de la organización

SC Protección de sistemas y comunicaciones

SC-1Políticas y procedimientosuna política de la organización

SC-2Separación de funciones del sistema y del usuarioun proceso operativo

SC-4Información en recursos compartidos del sistemaun proceso operativo

SC-5Protección contra denegación de servicioun proceso operativo

SC-10Desconexión de redun proceso operativo

SC-15Dispositivos y aplicaciones de trabajo colaborativoun proceso operativo

SC-17Certificados de infraestructura de clave públicaun proceso operativo

SC-18Código móvilun proceso operativo

SC-20Servicio seguro de resolución de nombres/direcciones (fuente autoritativa)un proceso operativo

SC-21Servicio seguro de resolución de nombres/direcciones (resolutor recursivo o de caché)un proceso operativo

SC-22Arquitectura y aprovisionamiento del servicio de resolución de nombres/direccionesun proceso operativo

SC-39Aislamiento de procesosun proceso operativo

SI Integridad de sistemas e información

SI-1Políticas y procedimientosuna política de la organización

SI-3Protección contra código maliciosoun proceso operativo

SI-4Monitorización del sistemaun proceso operativo

SI-5Alertas, avisos y directivas de seguridadun proceso operativo

SI-8Protección contra spamun proceso operativo

SI-16Protección de memoriaun proceso operativo

SR Gestión del riesgo de la cadena de suministro

SR-1Políticas y procedimientosuna política de la organización

SR-2Plan de gestión del riesgo de la cadena de suministrocontratos y proveedores

SR-3Controles y procesos de la cadena de suministrocontratos y proveedores

SR-5Estrategias, herramientas y métodos de adquisicióncontratos y proveedores

SR-6Evaluaciones y revisiones de proveedorescontratos y proveedores

SR-8Acuerdos de notificacióncontratos y proveedores

SR-10Inspección de sistemas o componentescontratos y proveedores

SR-12Eliminación de componentescontratos y proveedores

Cómo usarlo en una auditoría

Tome la población de los registros de cambio
Cada pull request fusionado en la rama por defecto y cada push a una rama protegida que ningún pull request fusionado explique, en el periodo, capturados de GitHub en el momento, es un registro sellado que puede exportar para el muestreo. Puede repetir la población de la rama por defecto a partir del historial de git; las ramas de producción designadas están planificadas.
Lea la evidencia de código del periodo
Cada pull request lleva resultados de código sellados frente a las reglas del blueprint, fijados al commit y a la versión del conjunto de reglas vigente.
Pruebe una muestra
Para cada registro muestreado, compruebe sus resultados y luego verifíquelo sin conexión con la clave publicada, con openssl y la shell: obtenga la evidencia, confirme la clave, compruebe el registro. Para repetir toda la cadena, Toevan facilita el comando toevan a petición; aún no es público.
Los tres pasos, con los comandos exactos

Cómo se obtuvo cada hecho6 etiquetas

Recalculado: Toevan lo calculó a partir del propio código o del historial de git.
Informado + sellado: GitHub lo informó; Toevan lo capturó en el evento y lo firmó.
Declarado + sellado: La organización lo declaró, como un cambio en lo que se comprueba; Toevan firmó la declaración y su historial.
Registro de Toevan, sin sellar: Guardado en la base de datos de Toevan pero no sellado en el libro, como una exención hoy. Ninguna firma lo protege.
Consumido: Tomado de los registros de despliegue y de release de GitHub y enlazado por commit o digest.
No capturado: No había una fuente fiable. Toevan no lo infiere.

CM-3Aprobaciones de cambiosHoja de pruebas · datos de ejemplo

Población148 cambios: 146 pull requests fusionados y 2 pushes directos
Recalculado listado desde el historial de git y cotejado con los registros sellados

Muestra25 extraídos por el auditor, cada uno un registro sellado

AprobacionesInformado + sellado de GitHub en la fusión, independientes del autor

ExcepcionesSin PR 2 pushes directos el 19 sepHueco requisito de revisión desactivado durante 29 minutosAmbos constan en el registro.

Firmas25 / 25 ✓ Verified OK

El informe de muestra de evidencia de cambios muestra la evidencia tal como la recibe su auditor, con cada hecho etiquetado.Abrir el informe de muestra

Pruebe el mapeo en una auditoría real.

Traiga un repositorio y una auditoría próxima. Configuraremos el blueprint y guiaremos a su auditor en la verificación.

Reserve un piloto de auditoría Ver un informe de muestra

Un repositorio, un marco
Evidencia desde el primer pull request
Verificable sin una cuenta de Toevan