Tystiolaeth cydymffurfiaeth
Tystiolaeth y gall asesydd ei gwirio, gyda'i chyfyngiadau wedi'u nodi arni
Allforio pecyn wedi'i dagio â rheolaethau sy'n nodi, ar gyfer pob rheolaeth, beth mae'r gofrestr yn ei brofi a beth nad yw'n ei brofi. Mae wedi'i adeiladu yn erbyn ISO 27001 Annex A a Cyber Essentials, ac mae'n ddefnyddiol ar gyfer y Ddeddf Cydnerthedd Seiber a diwydrwydd dyladwy cwsmeriaid.
Yr hyn y mae'r gofrestr yn ei dystio
Dyma'r rheolaethau y trefnir y pecyn o'u cwmpas heddiw. Mae'r golofn hawliadau yn fwriadol gyfyng ac yn cwmpasu dim ond yr hyn y mae'r data'n ei gefnogi, sy'n aml yn llai na phopeth y mae'r rheolaeth yn gofyn amdano.
| Rheolaeth | Yr hyn sydd yn y gofrestr |
|---|---|
| ISO 27001 A.5.9 Rhestr asedau | Pob dyfais a phob cydran meddalwedd, gyda pherchennog, dosbarthiad a chyflwr cylch bywyd, y gellir eu hail-greu ar gyfer unrhyw ddyddiad yn y gorffennol. |
| A.5.11 Dychwelyd asedau | Beth y mae pob ceidwad yn dal i'w ddal, gan gynnwys cyfarpar sy'n cael ei drwsio neu a gofnodwyd ar goll, a'r cofnod o'i ddychwelyd. |
| A.5.12 Dosbarthu gwybodaeth | Dosbarthiad data fesul ased, a'r cywiriadau a wnaed iddo ynghyd â'r rhesymau. |
| A.5.19–A.5.23 Cydberthnasau cyflenwyr | Cydrannau yn ôl cyflenwr a thrwydded, gyda dyfarniadau polisi a hepgoriadau y gellir eu priodoli. |
| A.8.1 Dyfeisiau terfynell defnyddwyr | Cyflwr amgryptio disg fesul pwynt terfyn, wedi'i gyfrif dros y boblogaeth pwyntiau terfyn yn benodol, gyda "heb ei gofnodi erioed" yn cael ei adrodd fel bwlch a byth fel llwyddiant neu fethiant. |
| A.8.8 Rheoli gwendidau technegol | Canfyddiadau fesul fersiwn a ddefnyddir, y safbwynt a gymerwyd ar bob un, pwy a'i cymeradwyodd, a phryd y rhoddwyd gwybod i berson. |
| A.8.15 Logio | Mae pob newid i'r gofrestr yn cael ei ysgrifennu at log ychwanegu-yn-unig gyda chadwyn hash, sy'n cynnwys y gwerth blaenorol, y gwerth newydd, pwy wnaeth y newid, pryd, a'r cais y daeth drwyddo. Gallwch wirio'r gadwyn gyfan eich hun. |
| Cyber Essentials CE.3 / CE.4 | Ers faint y mae gwendidau hysbys wedi bod heb eu datrys ar ryddhadau sydd wedi'u defnyddio, a phob manylyn adnabod a gyhoeddwyd, ei gwmpasau, ei ddyddiad dod i ben, pryd y'i defnyddiwyd ddiwethaf a phryd y'i dirymwyd. |
Yr hyn y mae hyn yn ei gyfrannu at bob fframwaith
Nid oes unrhyw offeryn yn gwneud sefydliad yn cydymffurfio ag unrhyw beth. Gall cofrestr ateb rheolaeth benodol gyda thystiolaeth y gall rhywun arall ei gwirio. Mae'r dudalen hon yn dangos pa reolaethau y mae hynny'n eu cwmpasu.
| Fframwaith | Yr hyn y mae'r gofrestr yn ei gyfrannu | Yr hyn nad yw'n ei wneud |
|---|---|---|
| ISO/IEC 27001 Annex A | Pecyn tystiolaeth wedi'i dagio â rheolaethau sy'n cwmpasu rheolaethau rhestr eiddo asedau, perchnogaeth, dosbarthiad, dychwelyd asedau, cofnodion cyflenwyr, cyflwr amgryptio pwyntiau terfyn, rheoli gwendidau technegol a chofnodi. | Eich ISMS, eich cynllun trin risg neu'r ardystiad ei hun. Mae'n ateb rhan rhestr eiddo archwiliad. Nid yw'n cwmpasu'r system reoli o amgylch y rhestr eiddo honno. |
| Cyber Essentials | Rhestr eiddo'r dyfeisiau, y cyflwr amgryptio fesul pwynt terfyn, a pha mor hir y mae gwendid hysbys wedi bod heb ei ddatrys ar rywbeth rydych yn ei redeg. | Cwestiynau wal dân, meddalwedd faleisus a rheoli mynediad, nad ydynt yn ffeithiau rhestr eiddo ac nad ydynt wedi'u cofnodi yma. |
| Deddf Cydnerthedd Seiber yr UE | SBOM a gedwir fesul rhyddhad ar gyfer cynhyrchion ag elfennau digidol, a'r safbwynt ar wendidau a gymerwyd ar bob cydran dros oes â chymorth y cynnyrch. | Asesiad cydymffurfiaeth, marcio CE, neu eich rhwymedigaethau adrodd i awdurdodau. |
| NIS 2 | Tystiolaeth diogelwch y gadwyn gyflenwi: o beth y mae eich gwasanaethau wedi'u hadeiladu, pa gydrannau cyflenwyr rydych chi'n dibynnu arnynt, a'r cofnod o sut y cafodd amlygiad ei drin. | Llinellau amser adrodd ar ddigwyddiadau, llywodraethu ac atebolrwydd rheolwyr. Dyletswyddau'r sefydliad yw'r rhain ac maent y tu allan i'r gofrestr. |
| DORA | Cofrestr asedau TGCh a'r darlun o ddibyniaeth ar gydrannau trydydd parti o dan wasanaethau hanfodol endid ariannol. | Y gofrestr o wybodaeth yn ei fformat adrodd rhagnodedig, trefniadau cytundebol, neu brofion cadernid. |
| SOC 2 | Tystiolaeth poblogaeth ar gyfer meini prawf rheoli newidiadau a rheoli gwendidau: beth sy'n bodoli, beth gafodd ei anfon, pryd, a phwy a gymeradwyodd safbwynt ar ganfyddiad. | Yr archwiliad ei hun, y meini prawf gwasanaethau ymddiriedaeth eraill, ac unrhyw farn. Nid oes templed adroddiad SOC 2 yma. |
Os nad oes fframwaith wedi'i restru yma, nid oes dim yn provenance wedi'i deilwra ar ei gyfer. Nid oes dim ar y dudalen hon yn honni ardystiad, achrediad na barn asesydd.
Tri pheth sy'n ei wneud yn dystiolaeth
- Caiff yr allforiad ei hun ei gofnodi. Caiff pob pecyn ei gofnodi gyda chrynodeb y beitiau a gynhyrchwyd. Ni chedwir y pecyn ei hun, ond cedwir ei gofnod log, a gallwch ei ddefnyddio i ddangos pa fersiwn a anfonoch at yr archwilydd ym mis Mawrth.
- Mae cyfrifiadau'n datgan eu poblogaeth. Mae pob ffigur yn nodi a yw'n cyfrif y set weithio neu'r cofnod cyfan, ac a yw'n cyfrif pwyntiau terfyn neu'r holl asedau. Heb hynny, gall dau ddarllenydd ddehongli'r un ffigur mewn ffyrdd gwahanol.
- Caiff pethau anhysbys eu labelu'n anhysbys. Nid yw rhyddhad heb SBOM yn cynhyrchu unrhyw ganfyddiadau, ac mae provenance yn ei adrodd fel un anhysbys, byth fel un glân. Caiff cyflwr amgryptio nad oes neb wedi'i wirio ei adrodd fel bwlch, byth fel llwyddiant.
Cwestiynau cydymffurfiaeth
A yw hyn yn ein gwneud yn ardystiedig i ISO 27001?
Nac ydy, ac ni all unrhyw offeryn wneud hynny. Archwiliad o'ch system reoli gan gorff achrededig yw ardystiad. Mae provenance yn dal y dystiolaeth y mae sawl rheolaeth Annex A yn gofyn amdani, mewn ffurf y gall asesydd ei gwirio, ac mae'n datgan ar gyfer pob rheolaeth beth y mae'r gofrestr yn ei brofi a beth nad yw'n ei brofi.
Beth sydd mewn pecyn tystiolaeth?
Trefnir y pecyn yn ôl cyfeirnod rheolaeth. Mae pob adran yn nodi'r dystiolaeth sydd gan y gofrestr ar gyfer y rheolaeth honno, terfynau'r honiad hwnnw a'r ymholiadau y tu ôl i'r ffigurau. Gallwch ei allforio fel JSON ar gyfer piblinell, fel HTML y gellir ei argraffu neu fel PDF ar gyfer ffeil archwilio. Cofnodir pob allforiad yn y log archwilio ynghyd â chrynodeb y beitiau a gynhyrchwyd.
Pam mae cafeat i bob rheolaeth?
Bydd asesydd yn dod o hyd i unrhyw honiad na all y pecyn ei ategu, ac mae pecyn sy'n gor-honi yn gwneud mwy o niwed na dim pecyn o gwbl. Mae pob honiad felly'n cario ei derfyn, sydd hefyd yn nodi wrth adolygydd pa dystiolaeth arall y bydd arno ei hangen.
A yw'n helpu gyda Deddf Cydnerthedd Seiber yr UE?
Mae'n dal y rhannau y mae'r CRA yn gofyn i wneuthurwr eu cadw: bil defnyddiau ar gyfer cynhyrchion ag elfennau digidol, cofnod o wendidau hysbys a'r safbwyntiau a gymerwyd arnynt, a thrywydd parhaol o bryd y dysgwyd am bob un a'i drin. Nid yw'n gyngor cyfreithiol ac nid yw'n asesu cydymffurfiaeth.
A all archwilydd wirio'r cofnod yn annibynnol?
Ydy. Mae'r log archwilio wedi'i gadwyno â stwnsh, ac mae'r gwasanaeth yn cyhoeddi'r union feysydd y mae pob crynodeb yn eu cynnwys ynghyd â'r log cyfan yn ei drefn o'r cofnod cyntaf ymlaen, felly gellir ailgyfrifo'r gadwyn y tu allan i'r platfform. Caiff toriadau eu hanodi ac ni chânt byth eu trwsio, oherwydd trwsio un yw'r union beth y cynlluniwyd y gadwyn i'w ganfod.
Ewch â phecyn i'ch archwiliad nesaf
Dewiswch y fframwaith, neu'r rheolaethau unigol y gofynnodd asesydd amdanynt, ac allforiwch.