Carte des contrôles · Rév. 5, NIST SP 800-53B

NIST 800-53 Moderate

Preuve issue du code pour des contrôles de l’application des accès à la protection au repos, et contrôle des changements de configuration issu de chaque fusion.

Réserver un pilote d’audit Voir un exemple de rapport

NIST SP 800-53 Rév. 5 · profil de base Moderate (SP 800-53B)37 contrôles dans le périmètre · selon la correspondance de v1.4.1

Code 12
Processus 2
Prévu 23

Preuve issue du code

12contrôles vérifiés à chaque pull request

Actif (processus)

2issus des fusions, approbations, changements de règle et des déploiements et releases enregistrés par GitHub

Prévu

23peut être prouvé à partir du code ou de GitHub ; pas encore construit

Contrôles au niveau de l’organisation

Politiques, personnes, fournisseurs, sécurité physique et le reste, listés ci-dessous.Toevan apporte une preuve d’appui pour 4 d’entre eux.Gérés par les processus de votre organisation

NIST SP 800-53 Moderate est le profil de base sur lequel s’appuie FedRAMP ; Toevan met ce profil en correspondance sans les ajouts de FedRAMP. Le contrôle des changements de configuration exige que les changements soient revus, approuvés et documentés, et que seules les personnes autorisées puissent les faire.

Le blueprint NIST 800-53 Moderate apporte une preuve issue du code pour des contrôles de l’application des accès à la protection au repos. Les enregistrements de changement apportent une preuve pour CM-3 (contrôle des changements de configuration) et SA-10 (gestion de configuration par le développeur), avec une preuve d’appui pour la séparation des tâches, les restrictions d’accès aux changements et l’intégrité.

Toevan apporte des preuves pour des contrôles ; il ne les certifie jamais et ne prétend pas qu’un référentiel est couvert. Que les preuves suffisent relève du jugement de votre auditeur.

Preuve issue du code12

Scellée à chaque pull request. Toujours partielle : le contrôle exige aussi des éléments hors du code. Les règles du blueprint NIST 800-53 Moderate vérifient une partie de chacun à chaque pull request.

AC-2Gestion des comptesAC Contrôle d’accès
AC-3Application des accèsAC Contrôle d’accès
AC-4Application des flux d’informationAC Contrôle d’accès
AC-6Moindre privilègeAC Contrôle d’accès
CM-2Configuration de référenceCM Gestion de configuration
CM-6Paramètres de configurationCM Gestion de configuration
IA-5Gestion des authentifiantsIA Identification et authentification
SA-11Tests et évaluation par le développeurSA Acquisition de systèmes et de services
SC-7Protection des frontièresSC Protection des systèmes et des communications
SC-8Confidentialité et intégrité des transmissionsSC Protection des systèmes et des communications
SC-28Protection de l’information au reposSC Protection des systèmes et des communications
SI-2Correction des faillesSI Intégrité des systèmes et de l’information

Actif (processus)2

Pull requests fusionnées, approbations, checks requis, protection de branche, rulesets et contournements, et déploiements et releases enregistrés par GitHub, chacun scellé.

CM-3Contrôle des changements de configurationCM Gestion de configurationPreuve de processus : chaque pull request fusionnée dans la branche par défaut est scellée en enregistrement de changement avec ses approbations sur le dernier commit, les checks requis à la fusion, la personne qui l’a fusionnée, ses signatures et les verdicts de code qu’elle portait.
SA-10Gestion de configuration par le développeurSA Acquisition de systèmes et de servicesPreuve de processus : enregistrements de changement et changements de contrôles pour le dépôt source.

Enregistrement de changement rec_5b81d4e

données d’exemple

Pull request payments-api #1921 · Add tenant check to refund handlerRapporté + scellé

Approbations 9d07…e3a4, c58f…71d0 · toutes deux sur le commit final e81b2d0Rapporté + scellé

Indépendant de l’auteur Oui, par identifiant de compte GitHubRecalculé

Checks requis ci/test ✓ · ci/lint ✓ · toevan/gate ✓Rapporté + scellé

Règles en vigueur main-protection : 2 approbations, checks requis, commits signésRapporté + scellé

En appui4

Toevan enregistre des preuves connexes, mais l’obligation relève de l’organisation : elle n’est donc jamais comptée comme couverte.

AC-5Séparation des tâchesAC Contrôle d’accèsSéparation des tâches par changement : l’auteur face aux approbateurs, calculée à partir des identifiants de compte GitHub. L’obligation plus large reste organisationnelle.
CM-5Restrictions d’accès aux changementsCM Gestion de configurationQui peut modifier les branches protégées, et chaque contournement, scellés comme changements de contrôles. La gestion des accès elle-même reste organisationnelle.
SI-7Intégrité des logiciels, firmwares et informationsSI Intégrité des systèmes et de l’informationFaits de signature de commit sur chaque changement fusionné.
SR-11Authenticité des composantsSR Gestion du risque de chaîne d’approvisionnementPreuve d’appui : une attestation GitHub qui nomme le commit. Toevan ne vérifie pas la signature de l’attestation. L’authenticité des composants tiers n’est pas montrée.

Prévu23

Peut être prouvé à partir du code ou de GitHub. Aucune règle ne les vérifie encore ; chacun est prévu, et aucun ne compte aujourd’hui comme preuve.

AC-7Tentatives de connexion échouéesAC Contrôle d’accès
AC-11Verrouillage de l’appareilAC Contrôle d’accès
AC-12Fin de sessionAC Contrôle d’accès
AC-17Accès à distanceAC Contrôle d’accès
AU-2Journalisation des événementsAU Audit et imputabilité
AU-3Contenu des enregistrements d’auditAU Audit et imputabilité
AU-8HorodatagesAU Audit et imputabilité
AU-9Protection des informations d’auditAU Audit et imputabilité
AU-11Conservation des enregistrements d’auditAU Audit et imputabilité
AU-12Génération des enregistrements d’auditAU Audit et imputabilité
CM-7Fonctionnalité minimaleCM Gestion de configuration
CP-9Sauvegarde du systèmeCP Plan de contingence
IA-2Identification et authentification (utilisateurs internes)IA Identification et authentification
IA-4Gestion des identifiantsIA Identification et authentification
IA-6Retour d’authentificationIA Identification et authentification
IA-8Identification et authentification (utilisateurs externes)IA Identification et authentification
RA-5Suivi et analyse des vulnérabilitésRA Évaluation des risques
SC-12Établissement et gestion des clés cryptographiquesSC Protection des systèmes et des communications
SC-13Protection cryptographiqueSC Protection des systèmes et des communications
SC-23Authenticité de sessionSC Protection des systèmes et des communications
SI-10Validation des entréesSI Intégrité des systèmes et de l’information
SI-11Gestion des erreursSI Intégrité des systèmes et de l’information
SI-12Gestion et conservation de l’informationSI Intégrité des systèmes et de l’information

Contrôles au niveau de l’organisation

Les contrôles au niveau de l’organisation (politiques, personnes, fournisseurs, sécurité physique et le reste) restent dans le processus propre à votre organisation ; Toevan ne s’en charge pas.

Afficher la liste

AC Contrôle d’accès

AC-1Politique et procéduresde la politique de l’organisation

AC-8Notification d’usage du systèmed’un processus opérationnel

AC-14Actions permises sans identification ni authentificationd’un processus opérationnel

AC-18Accès sans fild’un processus opérationnel

AC-19Contrôle d’accès des appareils mobilesd’un processus opérationnel

AC-20Usage de systèmes externesd’un processus opérationnel

AC-21Partage d’informationsd’un processus opérationnel

AC-22Contenu accessible publiquementd’un processus opérationnel

AT Sensibilisation et formation

AT-1Politique et procéduresde la politique de l’organisation

AT-2Formation et sensibilisationdes personnes et des RH

AT-3Formation par rôledes personnes et des RH

AT-4Registres de formationdes personnes et des RH

AU Audit et imputabilité

AU-1Politique et procéduresde la politique de l’organisation

AU-4Capacité de stockage des journaux d’auditd’un processus opérationnel

AU-5Réponse aux défaillances de journalisationd’un processus opérationnel

AU-6Revue, analyse et rapport des enregistrements d’auditd’un processus opérationnel

AU-7Réduction des enregistrements et génération de rapportsd’un processus opérationnel

CA Évaluation, autorisation et surveillance

CA-1Politique et procéduresde la politique de l’organisation

CA-2Évaluations des contrôlesd’une évaluation externe

CA-3Échange d’informationsd’une évaluation externe

CA-5Plan d’action et jalonsd’une évaluation externe

CA-6Autorisationd’une évaluation externe

CA-7Surveillance continued’une évaluation externe

CA-9Connexions internes du systèmed’une évaluation externe

CM Gestion de configuration

CM-1Politique et procéduresde la politique de l’organisation

CM-4Analyses d’impactd’un processus opérationnel

CM-8Inventaire des composants du systèmed’un processus opérationnel

CM-9Plan de gestion de configurationd’un processus opérationnel

CM-10Restrictions d’usage des logicielsd’un processus opérationnel

CM-11Logiciels installés par l’utilisateurd’un processus opérationnel

CM-12Localisation de l’informationd’un processus opérationnel

CP Plan de contingence

CP-1Politique et procéduresde la politique de l’organisation

CP-2Plan de continuitéd’un processus opérationnel

CP-3Formation à la continuitéd’un processus opérationnel

CP-4Test du plan de continuitéd’un processus opérationnel

CP-6Site de stockage alternatifd’un processus opérationnel

CP-7Site de traitement alternatifd’un processus opérationnel

CP-8Services de télécommunicationsd’un processus opérationnel

CP-10Restauration et reconstitution du systèmed’un processus opérationnel

IA Identification et authentification

IA-1Politique et procéduresde la politique de l’organisation

IA-3Identification et authentification des appareilsd’un processus opérationnel

IA-7Authentification des modules cryptographiquesd’un processus opérationnel

IA-11Réauthentificationd’un processus opérationnel

IA-12Vérification d’identitéd’un processus opérationnel

IR Réponse aux incidents

IR-1Politique et procéduresde la politique de l’organisation

IR-2Formation à la réponse aux incidentsd’un processus opérationnel

IR-3Test de la réponse aux incidentsd’un processus opérationnel

IR-4Traitement des incidentsd’un processus opérationnel

IR-5Suivi des incidentsd’un processus opérationnel

IR-6Signalement des incidentsd’un processus opérationnel

IR-7Assistance à la réponse aux incidentsd’un processus opérationnel

IR-8Plan de réponse aux incidentsd’un processus opérationnel

MA Maintenance

MA-1Politique et procéduresde la politique de l’organisation

MA-2Maintenance contrôléede la sécurité physique

MA-3Outils de maintenancede la sécurité physique

MA-4Maintenance à distancede la sécurité physique

MA-5Personnel de maintenancede la sécurité physique

MA-6Maintenance en temps voulude la sécurité physique

MP Protection des supports

MP-1Politique et procéduresde la politique de l’organisation

MP-2Accès aux supportsde la sécurité physique

MP-3Marquage des supportsde la sécurité physique

MP-4Stockage des supportsde la sécurité physique

MP-5Transport des supportsde la sécurité physique

MP-6Assainissement des supportsde la sécurité physique

MP-7Usage des supportsde la sécurité physique

PE Protection physique et environnementale

PE-1Politique et procéduresde la politique de l’organisation

PE-2Autorisations d’accès physiquede la sécurité physique

PE-3Contrôle d’accès physiquede la sécurité physique

PE-4Contrôle d’accès aux transmissionsde la sécurité physique

PE-5Contrôle d’accès aux périphériques de sortiede la sécurité physique

PE-6Surveillance de l’accès physiquede la sécurité physique

PE-8Registres d’accès des visiteursde la sécurité physique

PE-9Équipements électriques et câblagede la sécurité physique

PE-10Arrêt d’urgencede la sécurité physique

PE-11Alimentation de secoursde la sécurité physique

PE-12Éclairage de secoursde la sécurité physique

PE-13Protection incendiede la sécurité physique

PE-14Contrôles environnementauxde la sécurité physique

PE-15Protection contre les dégâts des eauxde la sécurité physique

PE-16Livraison et retraitde la sécurité physique

PE-17Site de travail alternatifde la sécurité physique

PL Planification

PL-1Politique et procéduresde la politique de l’organisation

PL-2Plans de sécurité et de confidentialité du systèmede la politique de l’organisation

PL-4Règles de conduitede la politique de l’organisation

PL-8Architectures de sécurité et de confidentialitéde la politique de l’organisation

PL-10Choix de la référencede la politique de l’organisation

PL-11Adaptation de la référencede la politique de l’organisation

PS Sécurité du personnel

PS-1Politique et procéduresde la politique de l’organisation

PS-2Désignation du risque par postedes personnes et des RH

PS-3Vérification du personneldes personnes et des RH

PS-4Départ du personneldes personnes et des RH

PS-5Mutation du personneldes personnes et des RH

PS-6Accords d’accèsdes personnes et des RH

PS-7Sécurité du personnel externedes personnes et des RH

PS-8Sanctions du personneldes personnes et des RH

PS-9Descriptions de postedes personnes et des RH

RA Évaluation des risques

RA-1Politique et procéduresde la politique de l’organisation

RA-2Catégorisation de sécuritéde la politique de l’organisation

RA-3Évaluation des risquesde la politique de l’organisation

RA-7Réponse aux risquesde la politique de l’organisation

RA-9Analyse de criticitéde la politique de l’organisation

SA Acquisition de systèmes et de services

SA-1Politique et procéduresde la politique de l’organisation

SA-2Allocation des ressourcesde la politique de l’organisation

SA-3Cycle de vie du développement systèmede la politique de l’organisation

SA-4Processus d’acquisitiondes contrats et des fournisseurs

SA-5Documentation du systèmede la politique de l’organisation

SA-8Principes d’ingénierie de sécurité et de confidentialitéde la politique de l’organisation

SA-9Services de systèmes externesdes contrats et des fournisseurs

SA-15Processus, normes et outils de développementde la politique de l’organisation

SA-22Composants système non pris en chargede la politique de l’organisation

SC Protection des systèmes et des communications

SC-1Politique et procéduresde la politique de l’organisation

SC-2Séparation des fonctions système et utilisateurd’un processus opérationnel

SC-4Information dans les ressources partagéesd’un processus opérationnel

SC-5Protection contre le déni de serviced’un processus opérationnel

SC-10Déconnexion du réseaud’un processus opérationnel

SC-15Appareils et applications collaboratifsd’un processus opérationnel

SC-17Certificats d’infrastructure à clé publiqued’un processus opérationnel

SC-18Code mobiled’un processus opérationnel

SC-20Résolution de noms sécurisée (source faisant autorité)d’un processus opérationnel

SC-21Résolution de noms sécurisée (résolveur récursif ou cache)d’un processus opérationnel

SC-22Architecture et provisionnement de la résolution de nomsd’un processus opérationnel

SC-39Isolation des processusd’un processus opérationnel

SI Intégrité des systèmes et de l’information

SI-1Politique et procéduresde la politique de l’organisation

SI-3Protection contre le code malveillantd’un processus opérationnel

SI-4Surveillance du systèmed’un processus opérationnel

SI-5Alertes, avis et directives de sécuritéd’un processus opérationnel

SI-8Protection contre le spamd’un processus opérationnel

SI-16Protection de la mémoired’un processus opérationnel

SR Gestion du risque de chaîne d’approvisionnement

SR-1Politique et procéduresde la politique de l’organisation

SR-2Plan de gestion du risque de chaîne d’approvisionnementdes contrats et des fournisseurs

SR-3Contrôles et processus de la chaîne d’approvisionnementdes contrats et des fournisseurs

SR-5Stratégies, outils et méthodes d’acquisitiondes contrats et des fournisseurs

SR-6Évaluations et revues des fournisseursdes contrats et des fournisseurs

SR-8Accords de notificationdes contrats et des fournisseurs

SR-10Inspection des systèmes ou composantsdes contrats et des fournisseurs

SR-12Mise au rebut des composantsdes contrats et des fournisseurs

L’utiliser dans un audit

Prenez la population dans les enregistrements de changement
Chaque pull request fusionnée dans la branche par défaut et chaque push vers une branche protégée qu’aucune pull request fusionnée n’explique, sur la période, capturés depuis GitHub au fil de l’eau, forment un enregistrement scellé que vous pouvez exporter pour échantillonner. Vous pouvez refaire la population de la branche par défaut à partir de l’historique git ; les branches de production désignées sont prévues.
Lisez les preuves issues du code pour la période
Chaque pull request porte des résultats de code scellés par rapport aux règles du blueprint, rattachés au commit et à la version du jeu de règles en vigueur.
Testez un échantillon
Pour chaque enregistrement échantillonné, vérifiez ses résultats, puis vérifiez-le hors ligne avec la clé publiée, avec openssl et le shell : récupérez la preuve, confirmez la clé, contrôlez l’enregistrement. Pour rejouer toute la chaîne, Toevan fournit la commande toevan sur demande ; elle n’est pas encore publique.
Les trois étapes, avec les commandes exactes

Comment chaque fait a été obtenu6 étiquettes

Recalculé: Toevan l’a calculé lui-même à partir du code ou de l’historique git.
Rapporté + scellé: GitHub l’a rapporté ; Toevan l’a capturé au moment de l’événement et signé.
Déclaré + scellé: L’organisation l’a déclaré, par exemple un changement de ce qui est vérifié ; Toevan a signé la déclaration et son historique.
Enregistrement Toevan, non scellé: Conservé dans la base de données de Toevan mais non scellé dans le registre, comme une dérogation aujourd’hui. Aucune signature ne le protège.
Consommé: Repris des enregistrements de déploiement et de release de GitHub et relié par commit ou empreinte.
Non capturé: Aucune source fiable n’était disponible. Toevan ne le déduit pas.

CM-3Approbations de changementsFeuille de test · données d’exemple

Population148 changements : 146 pull requests fusionnées et 2 pushes directs
Recalculé listée à partir de l’historique git et rapprochée des enregistrements scellés

Échantillon25 tirés par l’auditeur, chacun un enregistrement scellé

ApprobationsRapporté + scellé depuis GitHub à la fusion, indépendantes de l’auteur

ExceptionsSans PR 2 pushes directs le 19 sept.Écart exigence de revue désactivée pendant 29 minutesLes deux figurent dans l’enregistrement.

Signatures25 / 25 ✓ Verified OK

L’exemple de rapport de preuves de changement montre les preuves telles que votre auditeur les reçoit, chaque fait étant étiqueté.Ouvrir l’exemple de rapport

Testez la correspondance sur un vrai audit.

Venez avec un dépôt et un audit à venir. Nous configurerons le blueprint et guiderons votre auditeur dans la vérification.

Réserver un pilote d’audit Voir un exemple de rapport

Un dépôt, un référentiel
Des preuves dès la première pull request
Vérifiable sans compte Toevan