Cyberdeklaration

Kontrollkatalog 1.0

Varje protokoll hänvisar till en version av katalogen. Katalogen är öppen. Den som kopierar den bekräftar standarden.

§ 1 · Tre utfall

Tre utfall, förenligt, avvikelse och ej observerbart

Förenligt

Extern observation förenlig med rekvisitet vid tidpunkten.

Avvikelse

Extern observation som strider mot rekvisitet, med källa och tidsstämpel.

Ej observerbart

Rekvisitet kan inte bedömas utifrån och skrivs alltid ut.

§ 2 · Tre styrkor

Styrka 1

Observationen motsvarar rekvisitets ordalydelse.

Styrka 2

Indikator som talar för eller emot utan att avgöra.

Styrka 3

Underlag för jämförelse mellan leverantörens egna dokument och observerad verklighet.

§ 3 · Sjutton rekvisit

Vad som observeras, vilket utfall som kan sättas och med vilken styrka

  • 4 kap 26 § · DNSSECDNSSEC-signering och giltig valideringskedja för samtliga registrerade domäner.Förenligt eller avvikelse · styrka 1NIS2 21.2 e, hISO 8.20, 8.24
  • 4 kap 25 § · Kryptering vid överföringTLS-versioner och chiffersviter, certifikat, HSTS, klartextprotokoll, STARTTLS och MTA-STS.Förenligt eller avvikelse · styrka 1NIS2 21.2 hISO 8.24, 5.14
  • 4 kap 25 § allmänt råd · NyckelhanteringUtgångna och självsignerade certifikat, svaga nycklar, okända certifikat i CT-loggar.Indikator · styrka 2NIS2 21.2 hISO 8.24
  • 4 kap 19 § · Verifierbar identitetSPF, DKIM, DMARC med policy reject eller quarantine, giltigt webbcertifikat, publik information om verifiering.Förenligt eller avvikelse för e-post och webb · styrka 1. Telefon och sms · styrka 3NIS2 21.2 g, jISO 5.14, 8.5
  • 4 kap 13 § · SäkerhetskonfigureringExponerade tjänster utan verksamhetsbehov, adminpaneler, standardsidor, kataloglistning, banners.Förenligt eller avvikelse · styrka 1. Säkerhetshuvuden · styrka 2NIS2 21.2 eISO 8.9, 8.20
  • 4 kap 11 § · SegmenteringOT-protokoll mot internet, administrationsgränssnitt på samma publika adress som externa tjänster.Avvikelse vid OT-exponering · styrka 1. Övrigt · styrka 2NIS2 21.2 eISO 8.22
  • 4 kap 27 § p 1 och 2 samt 31 § · SäkerhetsuppdateringarVersioner i exponerade tjänster mot CVE och CISA KEV, tid sedan rättning, jämförelse mot rådet om 72 timmar.Förenligt eller avvikelse när version syns, annars ej observerbart · styrka 1NIS2 21.2 eISO 8.8
  • 4 kap 31 § andra meningen · Utfasad mjukvaraVersioner utan säkerhetsstöd.Avvikelse · styrka 1NIS2 21.2 eISO 8.8
  • 4 kap 17 § · Flerfaktor vid extern åtkomstExponerade fjärråtkomstportaler och synligt MFA-flöde.Indikator · styrka 2. Aldrig avvikelseNIS2 21.2 jISO 8.5
  • 4 kap 14 till 16 §§ · AutentiseringsuppgifterLäckta uppgifter kopplade till domänen, hemligheter i publika kodförråd, produktionsuppgifter i exponerade testmiljöer.Avvikelse vid förekomst · styrka 1. Giltighet testas aldrigNIS2 21.2 i, jISO 5.17, 8.4
  • 4 kap 27 § allmänt råd · Sårbarhetsrapporteringsecurity.txt enligt RFC 9116, publicerad policy.Förenligt eller avvikelse · styrka 1NIS2 21.2 eISO 8.8
  • 4 kap 8 och 9 §§ · Förteckning över digital miljöObserverad tillgångsbild mot leverantörens egen förteckning, hängande DNS-poster.Policy mot verklighet · styrka 3. Funna avvikelser · styrka 1NIS2 21.2 iISO 5.9, 8.9
  • 4 kap 13 § p 2 och 25 § · Exponerad lagringPublikt listbara behållare och kataloger, endast förekomst.Avvikelse vid förekomst · styrka 1NIS2 21.2 e, hISO 8.12, 8.9
  • 3 kap 15 § p 2 · Redundanta funktionerDNS- och MX-redundans, leverantörskoncentration.Indikator · styrka 2NIS2 21.2 cISO 8.14
  • 4 kap 1 och 2 §§ · Digitala leveranskedjorVilka tredje parter tjänsterna vilar på och deras externa hygien.Indikator · styrka 2NIS2 21.2 dISO 5.19 till 5.22
  • 4 kap 9 § och 3 kap 15 § · DomänhygienRegistrarlås, utgångsdatum, registrantuppgifter, zonfel.Förenligt eller avvikelse · styrka 1NIS2 21.2 e, iISO 5.9, 8.20
  • 4 kap 24 § · Skydd mot skadlig kodBlocklistor och publika indikationer på kompromettering.Indikator · styrka 2NIS2 21.2 eISO 8.7

§ 4 · Det utsidan inte ser

Fyrtio rekvisit kräver dokument, intervju eller platsbesök

  • 2 kap 1 §Styrning och ledningens ansvar. Kräver dokument och intervju.
  • 3 kap 1 till 14 och 16 till 19 §§Riskhantering, roller, utbildning och rutiner. Kräver dokument och intervju.
  • 4 kap 3 till 7, 10, 12, 20 till 23 och 28 till 30 §§ samt 5 och 6 kapInterna tekniska rutiner, loggning, kontinuitetsövning, fysiskt skydd och incidenthantering. Kräver dokument, intervju eller platsbesök.

§ 5 · Regler för varje rad

  • Källa eller inget fynd.
  • Ordet uppfyller används aldrig.
  • Allmänna råd märks som råd.
  • Reservationer som uppenbart obehövligt tillhör verksamhetsutövaren.
  • Förinställda uppgifter och giltigheten av läckta uppgifter testas aldrig.

§ 6 · Versioner

1.0, [DATUM], första utgåvan

Ändringar publiceras här. Ett protokoll läses alltid mot den version det hänvisar till.

Se ett komplett exempelVerifiera ett protokoll