StandardOS verbindet sich nur lesend mit den Systemen, die Sie ohnehin betreiben, liest bestimmte Einstellungen nach Zeitplan und macht aus jeder Lesung einen Nachweiseintrag zu dem Control in Anhang A, das sie stützt. Eine bestandene Prüfung hält den Eintrag frisch. Eine fehlgeschlagene lässt ihn verfallen, sodass die Verschlechterung in Ihren Benachrichtigungen auftaucht und nicht im Audit.
Systeme, alle nur lesend
12
verbinden sich mit einem Klick
3
der 93 Controls in Anhang A erhalten Nachweise
52
Amazon Web ServicesMicrosoft Entra IDGoogle WorkspaceMicrosoft IntuneMicrosoft AzureGoogle CloudJamf ProPersonioGitHubKandjiOktaSnyk
GitHub
Microsoft Entra ID
Okta
Google Workspace
Personio
Amazon Web Services
Microsoft Azure
Google Cloud
Snyk
Kandji
Jamf Pro
Microsoft Intune
Nur lesende APIs. Kein Agent auf irgendjemandes Laptop.
Alle Zugangsdaten unten erhalten die darunter aufgeführten Berechtigungen und sonst nichts, und jede davon ist eine Leseberechtigung.
Mehr lesen
Nichts, was StandardOS hält, kann eine Einstellung ändern, einen Befehl senden oder ein Gerät registrieren. Der Gerätezustand wird aus dem MDM gelesen, das Sie ohnehin betreiben. Software auf den Rechnern der Beschäftigten ist die lauteste Klage über die etablierten Anbieter und in einem europäischen Betriebsrat ein Gespräch über Überwachung, bevor sie ein Control ist. Wir führen dieses Gespräch nicht, weil wir nichts installieren.
Zusammen erzeugen die 12 Verbindungen Nachweise für 52 der 93 Controls in Anhang A. Jede Control-Seite nennt die Lesung dahinter, und jede Karte unten verlinkt die Controls, die sie abdeckt.
3 verbinden sich mit einem Klick
Sie melden sich beim Anbieter an, genehmigen den Lesezugriff auf dessen Zustimmungsbildschirm, und die ersten Prüfungen laufen, bevor Sie wieder auf der Seite sind. Nichts einzufügen, nichts in einer Konsole anzulegen.
GitHub
8 Prüfungen
Ob Zwei-Faktor-Authentifizierung verlangt wird, welche Repositories öffentlich sind, ob Standard-Branches eine Prüfung verlangen, wie lange Dependabot-Funde offen bleiben, ob Merges bestandene Statusprüfungen voraussetzen und ob Bereitstellungen über eine geschützte Umgebung laufen.
Ihre Personen, damit das Mitarbeiterregister aktuell bleibt, dann die Bestätigung in zwei Schritten in der ganzen Domain und wer Super-Administrator ist.
Die anderen 9 nehmen schreibgeschützte Zugangsdaten, die Sie einfügen, mit den auf jeder Karte aufgeführten Feldern.
Jedes System: was es prüft und was es sehen kann
Identität und Verzeichnis
Ein Klick
Microsoft Entra ID
Wie viele Personen Globaler Administrator sind, ob Gastkonten bestehen und ob Mehr-Faktor-Authentifizierung zur Anmeldung tatsächlich verlangt wird.
Was geprüft wird
Globale Administratoren sind wenige und namentlich bekannt
Externe Gastkonten sind bekannt
Zur Anmeldung ist Mehr-Faktor-Authentifizierung erforderlich, durch Sicherheitsstandards oder eine aktive Richtlinie für bedingten Zugriff
Globaler Administrator wird bei Bedarf aktiviert, nicht dauerhaft gehalten
Veraltete Authentifizierung ist gesperrt
Verzeichnisrollen sind von einer MFA-Richtlinie abgedeckt
Eine Richtlinie verlangt ein konformes oder eingebundenes Gerät
Kein aktiviertes Konto war 90 Tage ohne Anmeldung
Anwendungsgeheimnisse und Zertifikate gelten höchstens zwei Jahre
Gasteinladungen sind eingeschränkt und Gäste sehen wenig
Jeder Administrator hat einen zweiten Faktor registriert
Was die Zugangsdaten sehen können
Directory.Read.All
Policy.Read.All
RoleManagement.Read.Directory
Ein Administrator genehmigt die aufgeführten Leseberechtigungen einmal auf Microsofts Zustimmungsbildschirm; nur Ihre Mandanten-ID wird behalten, und jeder Lauf meldet sich mit den eigenen Zugangsdaten unserer Anwendung an. Jede Berechtigung ist eine Leseberechtigung, im Mandanten kann sich also nichts ändern.
Ihre Personen, damit das Mitarbeiterregister aktuell bleibt, und die Kontozustände, die bedeuten, dass jemand nie ganz aufgenommen oder nie ganz ausgetragen wurde.
Was geprüft wird
Verzeichnisbenutzer werden in das Mitarbeiterregister übernommen, und wer hier aktiv, aber aus Okta verschwunden ist, wird benannt
Keine Konten hängen mitten im Onboarding fest
Gesperrte Konten sind nachvollziehbar
Ausgesperrte Konten sind sichtbar
Super Administrator halten wenige, namentlich bekannte Personen
Kein aktives Konto war 90 Tage ohne Anmeldung
Jeder Superadministrator hat einen aktiven Faktor registriert
Administratorrollen liegen bei wenigen Konten
Was die Zugangsdaten sehen können
okta.users.read
okta.roles.read
Ein schreibgeschütztes API-Token. Es erbt die Rechte des Administrators, der es erstellt, und wird deshalb als schreibgeschützter Administrator angelegt.
Ihre Personen, damit das Mitarbeiterregister aktuell bleibt, dann die Bestätigung in zwei Schritten in der ganzen Domain und wer Super-Administrator ist.
Was geprüft wird
Verzeichnisbenutzer werden in das Mitarbeiterregister übernommen, und wer hier aktiv, aber aus Workspace verschwunden ist, wird benannt
Die Bestätigung in zwei Schritten ist domainweit eingerichtet
Super-Administratoren sind wenige und nutzen alle die Bestätigung in zwei Schritten
Gesperrte Konten sind nachvollziehbar
Kein aktives Konto war 90 Tage ohne Anmeldung
Die Bestätigung in zwei Schritten wird erzwungen, nicht nur aktiviert
Ein Administrator meldet sich an und genehmigt den einen schreibgeschützten Verzeichnisbereich auf Googles Zustimmungsbildschirm; die Prüfungen lesen das Verzeichnis als dieser Administrator und können nichts darin ändern. Kein Dienstkonto, keine Schlüsseldatei.
Ihre Personen aus dem HR-System, damit das Mitarbeiterregister aktuell bleibt: wer aktiv, beurlaubt oder im Onboarding ist und wer gegangen ist.
Was geprüft wird
Verzeichnisbenutzer werden in das Mitarbeiterregister übernommen, und wer in Personio ausgetreten, hier aber noch aktiv ist, wird benannt
Das HR-System ist die Quelle des Mitarbeiterregisters
Jeder Austritt trägt ein Austrittsdatum
Kein aktives Beschäftigungsverhältnis hat sein Vertragsende überschritten
Jedes aktive Beschäftigungsverhältnis nennt eine Führungskraft
Was die Zugangsdaten sehen können
personio:persons:read
Eine eigene Integration unter Marketplace, Verbundene Integrationen, mit dem einen Lesebereich für Personen. Die Personio-API nimmt keine Subdomain; die Zugangsdaten identifizieren das Unternehmen, und nichts hier schreibt in einen Personalstammsatz.
MFA und Zugriffsschlüssel des Root-Kontos, Konsolenbenutzer ohne MFA, Alter der Zugriffsschlüssel, die Kennwortrichtlinie des Kontos, die kontoweite S3-Sperre für öffentlichen Zugriff, die CloudTrail-Abdeckung, RDS-Verschlüsselung, Aufbewahrung der Sicherungen und Multi-AZ, ob ein AWS-Config-Recorder läuft, ob eine EC2-Instanz in der Standard-VPC läuft und ob GuardDuty aktiviert ist.
Was geprüft wird
Das Root-Konto hat Mehr-Faktor-Authentifizierung
Das Root-Konto hat keine Zugriffsschlüssel
Alle mit Konsolenzugang nutzen Mehr-Faktor-Authentifizierung
Zugriffsschlüssel wurden innerhalb von 90 Tagen gewechselt
Für das Konto ist eine Kennwortrichtlinie gesetzt
Öffentlicher S3-Zugriff ist für das ganze Konto gesperrt
API-Aktivität wird in allen Regionen protokolliert
Datenbanken sind in der von Ihnen benannten Region im Ruhezustand verschlüsselt
Datenbanken halten automatische Sicherungen mindestens eine Woche
Datenbanken überstehen den Ausfall einer Verfügbarkeitszone
Die Ressourcenkonfiguration wird fortlaufend aufgezeichnet
Keine Last läuft in der Standard-VPC
Die Bedrohungserkennung ist eingeschaltet
Voller Administratorzugriff läuft über Rollen, nicht über dauerhafte Benutzer
Verwaltete Instanzen betreiben einen Zeitsynchronisationsdienst
Kein Konsolenkennwort und kein Zugriffsschlüssel bleibt 90 Tage ungenutzt
Das Root-Konto wird nicht für die tägliche Arbeit genutzt
Neue EBS-Volumes werden standardmäßig verschlüsselt
Keine Sicherheitsgruppe öffnet SSH, RDP oder einen Datenbankport zum Internet
IAM Access Analyzer wacht über Ressourcen, die außerhalb des Kontos freigegeben sind
Ein Sicherungsplan ist eingeplant
CloudWatch-Alarme tragen eine Aktion, die jemanden erreicht
Container-Images werden beim Push auf bekannte Schwachstellen geprüft
AWS hat einen Sicherheitskontakt, an den es schreiben kann
Die Kapazität wird überwacht
Ein Sicherungsplan kopiert in eine andere Region oder einen anderen Tresor
Was die Zugangsdaten sehen können
arn:aws:iam::aws:policy/SecurityAudit
Ein IAM-Benutzer mit einer einzigen von AWS verwalteten Richtlinie, SecurityAudit, die von Natur aus schreibgeschützt ist. Die Richtlinie zu benennen statt Aktionen aufzulisten heißt, dass niemand durch Raten eine zu weite Richtlinie zusammenstellt, und Sie können prüfen, dass es die ist, die AWS veröffentlicht.
Speicherkonten, die öffentlichen Blob-Zugriff oder einfaches HTTP zulassen, SQL-Datenbanken ohne transparente Datenverschlüsselung, ihre Sicherungsaufbewahrung und Zonenredundanz, Abonnements, deren Aktivitätsprotokoll nirgendwo dauerhaft landet, Netzwerksicherheitsgruppen, die SSH oder RDP zum Internet öffnen, Lebenszyklusrichtlinien der Speicher und welche Defender-for-Cloud-Pläne aktiv sind.
Speicherkonten verlangen HTTPS und TLS 1.2 oder neuer
SQL-Datenbanken sind im Ruhezustand verschlüsselt
SQL-Datenbanken halten Zeitpunkt-Sicherungen mindestens eine Woche
SQL-Datenbanken überstehen den Ausfall einer Verfügbarkeitszone
Abonnementaktivität wird dauerhaft protokolliert
Keine Netzwerksicherheitsgruppe öffnet SSH oder RDP zum Internet
Speicherkonten haben eine Lebenszyklusrichtlinie für alternde Daten
Defender for Cloud überwacht mindestens einen Ressourcentyp
Key Vaults haben Soft Delete und Löschschutz
Speicherkonten bewahren gelöschte Blobs eine Zeit lang auf
SQL-Server protokollieren Zugriffe
Keine SQL-Server-Firewallregel lässt das ganze Internet zu
Netzwerksicherheitsgruppen zeichnen Flow Logs auf
Defender for Cloud hat einen Sicherheitskontakt zum Benachrichtigen
Azure Policy ist auf jedem Abonnement zugewiesen
Ein Recovery-Services-Tresor sichert etwas
Was die Zugangsdaten sehen können
Reader (Azure role, on each subscription in scope)
Die Entra-ID-App-Registrierung mit der integrierten Rolle Leser für jedes Abonnement, das gelesen werden soll. Leser ist von Natur aus schreibgeschützt, wird je Abonnement zugewiesen, und dieselbe Registrierung verbindet bereits Entra ID und Intune.
Öffentlich lesbare Buckets, Cloud-SQL-Instanzen ohne TLS oder offen zum Internet, überfällige Dienstkontoschlüssel, Audit-Protokollierung des Datenzugriffs je Projekt und Firewallregeln, die SSH oder RDP für alle öffnen, dazu ob jede Cloud-SQL-Instanz automatische Sicherungen erstellt und zonenübergreifend läuft und ob jeder Bucket eine Lebenszyklusregel hat.
Was geprüft wird
Kein Cloud-Storage-Bucket ist öffentlich lesbar
Cloud-SQL-Instanzen verlangen TLS und sind nicht zum Internet offen
Cloud-SQL-Instanzen überstehen den Ausfall einer Zone
Cloud-Storage-Buckets haben eine Lebenszyklusregel für alternde Daten
Dienstkontoschlüssel wurden innerhalb von 90 Tagen gewechselt
Audit-Protokolle des Datenzugriffs sind für alle Dienste aktiviert
Keine Firewallregel öffnet SSH oder RDP zum Internet
Cloud-Storage-Buckets bewahren Objektversionen auf
Cloud-Storage-Buckets nutzen einheitlichen Zugriff auf Bucket-Ebene
Cloud-SQL-Instanzen sind vor Löschung geschützt
Keine Person hat die Basisrolle Owner oder Editor
Keine virtuelle Maschine hat eine öffentliche Adresse
Subnetze zeichnen Flow Logs auf
Kein Projekt behält das automatische Standardnetzwerk
Cloud-KMS-Schlüssel rotieren nach Zeitplan
Google hat für jedes Projekt einen Sicherheitskontakt
Was die Zugangsdaten sehen können
roles/iam.securityReviewer (project role)
Ein Dienstkontoschlüssel mit der integrierten Rolle Security Reviewer für jedes Projekt im Anwendungsbereich. Die Rolle ist von Natur aus schreibgeschützt, und jedes aktive Projekt, das das Konto sehen kann, wird gelesen; nichts hier schreibt.
Ob Zwei-Faktor-Authentifizierung verlangt wird, welche Repositories öffentlich sind, ob Standard-Branches eine Prüfung verlangen, wie lange Dependabot-Funde offen bleiben, ob Merges bestandene Statusprüfungen voraussetzen und ob Bereitstellungen über eine geschützte Umgebung laufen.
Was geprüft wird
Zwei-Faktor-Authentifizierung ist in der ganzen Organisation verlangt oder für das Konto aktiviert
Quellcode-Repositories sind privat
Standard-Branches verlangen eine Prüfung vor dem Merge
Dependabot-Funde werden innerhalb der Behebungsfrist behoben: 14 Tage bei kritisch, 30 bei hoch, 90 bei mittel, 180 bei niedrig
Standard-Branches verlangen bestandene Tests vor dem Merge
Produktivbereitstellungen laufen über eine geschützte Umgebung
Jedes Repository benennt seine Code-Eigentümer und führt bei Änderungen einen Workflow aus
Niemand außerhalb der Organisation kann ohne Vereinbarung pushen
Was die Zugangsdaten sehen können
read:org
repo (read-only)
security_events (read-only)
read:user
Eine GitHub App, die Sie auf GitHubs eigenem Bildschirm in Ihrer Organisation installieren, mit den aufgeführten Leseberechtigungen; nichts wird eingefügt. Jeder Lauf holt sich bei GitHub ein Token, das eine Stunde lebt, es wird also kein Token von Ihnen gespeichert.
Offene Funde gemessen an Ihren Behebungsfristen, ob wirklich jedes Projekt gescannt wird und ob der letzte Test eines Projekts zu alt ist, um noch etwas zu bedeuten.
Was geprüft wird
Offene Funde werden innerhalb der Behebungsfrist behoben: 14 Tage bei kritisch, 30 bei hoch, 90 bei mittel, 180 bei niedrig
Jedes Projekt wurde getestet, sodass ein Projekt ohne Funde eines ist, das gescannt und nicht übersprungen wurde
Jedes Projekt wurde in den letzten 30 Tagen getestet
Kein Geheimnis liegt in einem gescannten Repository
Ignorierte hohe und kritische Funde sind entschieden, nicht vergessen
Pull Requests werden vor dem Merge getestet
Was die Zugangsdaten sehen können
Viewer (read-only)
Ein API-Token eines Kontos mit der Rolle Viewer in der Organisation. Nichts hier schreibt.
Festplattenverschlüsselung und Bildschirmsperre über Ihre Apple-Flotte hinweg und welche Geräte sich nicht mehr melden. Gelesen aus dem MDM, das Sie ohnehin betreiben, ganz ohne Agent von uns.
Was geprüft wird
Verwaltete Geräte sind im Ruhezustand verschlüsselt
Verwaltete Geräte sperren sich unbeaufsichtigt
Verwaltete Geräte haben sich innerhalb von 30 Tagen gemeldet
Verwaltete Macs haben eine Wiederherstellungssperre oder ein Firmware-Passwort
Verwaltete Geräte sind beaufsichtigt, sodass die Verwaltung nicht entfernt werden kann
Verwaltete Macs tragen höchstens einen lokalen Administrator
Was die Zugangsdaten sehen können
Device List (read)
Device Details (read)
Ein API-Token, in Kandjis eigenen Einstellungen auf die zwei Leseberechtigungen für Geräte beschränkt. Nichts hier schreibt.
FileVault, Bildschirmsperre und Gatekeeper über Ihre Mac-Flotte hinweg und welche Geräte sich nicht mehr melden. Gelesen aus dem MDM, das Sie ohnehin betreiben, ganz ohne Agent von uns.
Was geprüft wird
Verwaltete Geräte sind im Ruhezustand verschlüsselt, wobei ein Mac nur dann als verschlüsselt zählt, wenn es jedes Konto darauf ist
Verwaltete Geräte sperren sich unbeaufsichtigt
Auf verwalteten Geräten läuft Endpunktschutz, gelesen aus Gatekeeper
Verwaltete Geräte haben sich innerhalb von 30 Tagen gemeldet
Verwaltete Macs haben die Anwendungs-Firewall an
Kein verwalteter Mac meldet sich beim Start automatisch an
System Integrity Protection und volle Sicherheit beim Start sind aktiv
Was die Zugangsdaten sehen können
Read Computers
Read Computer Inventory Collection
Ein API-Client mit einer API-Rolle, die genau zwei Leseprivilegien hält, eingetauscht gegen ein kurzlebiges Token. Nicht Benutzername und Kennwort der Classic API, denn das wären Zugangsdaten, die auch einen Laptop löschen können.
Festplattenverschlüsselung über Ihre verwalteten Geräte hinweg und welche sich nicht mehr synchronisieren. Dieselbe App-Registrierung wie bei Entra ID, mit einer weiteren Leseberechtigung.
Was geprüft wird
Verwaltete Geräte sind im Ruhezustand verschlüsselt
Verwaltete Geräte haben sich innerhalb von 30 Tagen gemeldet
Verwaltete Geräte erfüllen ihre Compliance-Richtlinien
Kein verwaltetes Gerät ist gejailbreakt oder gerootet
Ein Threat-Defense-Partner meldet jedes verwaltete Gerät als sicher
Was die Zugangsdaten sehen können
DeviceManagementManagedDevices.Read.All
Die Entra-ID-App-Registrierung mit einer weiteren Anwendungsberechtigung, einmal genehmigt. Wer Entra bereits verbunden hat, fügt die Berechtigung hinzu und verbindet dies mit derselben Client-ID und demselben Geheimnis.
1. Sie verbinden, und die Zugangsdaten werden geprüft, bevor sie gespeichert werden
Die Zugangsdaten werden zuerst beim Anbieter ausprobiert. Funktionieren sie, werden sie dort gespeichert, wo keine Browsersitzung sie lesen kann, und der erste Lauf geschieht sofort, sodass Sie Ergebnisse sehen, bevor Sie die Seite verlassen.
2. Jede Prüfung läuft täglich und hält einen Nachweiseintrag
Eine bestandene Prüfung verlängert die Gültigkeit des Eintrags. Eine fehlgeschlagene zieht sie auf heute zurück, sodass er verfällt wie ein abgelaufenes Zertifikat und an derselben Stelle erscheint. Eine Prüfung, die nicht lesen konnte, was sie brauchte, sagt das und nennt die zu erteilende Berechtigung, statt einen Fehlschlag zu melden, den sie nicht beobachtet hat.
3. Ein Bestanden, das zu einem Fehlschlag wird, schickt Ihren Administratoren eine E-Mail
Einmal, beim Umschlagen. Eine Einstellung, die gestern Abend richtig war und heute Morgen falsch ist, ist das eine Ereignis, das eine E-Mail wert ist; eine Einstellung, die seit einem Monat falsch ist, steht bereits in Ihren Benachrichtigungen.
Was nicht integriert ist
Die Frage, die ein Vergleich von Funktionszahlen eigentlich stellt. Hier ist die Antwort, damit Sie sie nicht erst nach der Anmeldung herausfinden müssen.
Ein Agent auf irgendjemandes Laptop
Absichtlich, und dauerhaft. Alles über ein Gerät wird aus dem MDM gelesen, das Sie ohnehin betreiben. Endpunkt-Agenten sind die lauteste Klage über die etablierten Anbieter, und in einem europäischen Betriebsrat sind sie ein Gespräch über Überwachungssoftware, bevor sie ein Control sind.
Andere HR-Systeme
Personio wird gelesen; BambooHR, HiBob, Workday und die übrigen nicht. Für ein Unternehmen, dessen Personen zuerst in Okta oder Google Workspace leben, halten stattdessen diese das Register aktuell.
Ticketing-, Chat- und Logging-Plattformen
Vorfall- und Änderungsaufzeichnungen werden in StandardOS selbst geführt, auf seiner eigenen Hash-Kette. Aus Jira, Slack oder einem SIEM wird nichts gelesen.
In Minuten verbunden, jede Nacht gelesen
Jede Verbindung ist ein Formular mit den oben genannten Feldern und sonst nichts. Der Export, den Ihr Auditor erhält, ist nach Anhang-A-Referenz geordnet, und jeder automatisierte Eintrag darin nennt das System, aus dem er gelesen wurde, und den Tag der Lesung.