Non bug. Modifiche che emergeranno in un audit. Nove famiglie, mappate su ISO 27001:2022 e SOC 2. L'elenco rappresenta il livello di dettaglio della revisione, non le 93 righe dell'Allegato A.
Una modifica rilevante per la conformità è un diff che avrebbe importanza in un audit: ha modificato chi può accedere a cosa, cosa viene registrato, per quanto tempo viene conservata una traccia, come viene gestito un segreto o se un controllo ha ancora prove. Di solito non è un bug. I test possono rimanere verdi. Il codice può essere più breve. L'obbligo è più debole dopo il merge rispetto a prima.
heygrc non esegue un pacchetto di regole fisso. Legge la pull request rispetto ai framework selezionati (Allegato A di ISO 27001:2022, TSC di SOC 2, GDPR, NIS 2 e il resto del catalogo) più il contesto aziendale fornito. Le famiglie di seguito sono le forme che la revisione cerca. Non rappresentano tutti i controlli dell'Allegato A e non garantiscono che ogni riga venga attivata in ogni repository.
Famiglie di modifiche e le clausole che di solito citano
| Famiglia di modifiche | ISO 27001:2022 | SOC 2 |
|---|---|---|
| Controllo degli accessi e autorizzazione (IAM) | A.5.15 a A.5.18, A.8.2 a A.8.5 | CC6 |
| Autenticazione | A.8.5 | CC6 |
| Logging, monitoraggio e durata di conservazione dei log | A.8.15, A.8.16 | CC7 |
| Gestione dei dati: nuovi campi PII, esportazioni, rimozione del mascheramento, eliminazione | A.8.10 a A.8.12 | CC6 |
| Crittografia in transito e a riposo, gestione delle chiavi | A.8.24 | CC6 |
| Segreti e credenziali nel codice o nella configurazione | A.8.24 | CC6 |
| Fornitori e terze parti: SDK, sub-responsabili, flussi di dati in uscita | A.5.19 a A.5.23 | CC9 |
| Regole di conservazione ed eliminazione | A.8.10, A.5.33 | CC6 |
| Prove di audit: approvazioni, gate CI, migrazioni | A.8.32, A.5.33 | CC8 |
Le nove famiglie
Controllo degli accessi e autorizzazione: ruoli, permessi, sicurezza a livello di riga, percorsi admin. Un ruolo IAM allargato o una nuova route non autenticata appartiene a questa famiglia. ISO 27001:2022 A.5.15 a A.5.18 e A.8.2 a A.8.5. SOC 2 CC6.
Autenticazione: MFA, sessioni, gestione delle credenziali. Una route privilegiata che prima richiedeva un secondo fattore e ora richiede solo una sessione appartiene a questa famiglia. A.8.5. SOC 2 CC6.
Logging, monitoraggio e tracce di audit, inclusa la durata di conservazione. Considera questo come esempio: ridurre la conservazione dei log di audit da 365 giorni a 30 è A.8.15 e SOC 2 CC7.2. Il monitoraggio è affiancato da A.8.16.
Gestione dei dati: un nuovo campo PII, un'esportazione, rimozione del mascheramento, un percorso di eliminazione che salta un archivio. A.8.10 a A.8.12. SOC 2 CC6 quando la modifica riguarda chi può accedere ai dati.
Crittografia in transito e a riposo e gestione delle chiavi. A.8.24. SOC 2 CC6.
Segreti e credenziali nel codice o nella configurazione. Una chiave incollata nel codice sorgente è un segreto esposto. A.8.24. SOC 2 CC6.
Fornitori e terze parti: un nuovo SDK, un sub-responsabile, un flusso di dati in uscita che non esisteva ieri. A.5.19 a A.5.23. SOC 2 CC9 quando la modifica riguarda una relazione con un fornitore espressa nel codice.
Regole di conservazione ed eliminazione. Una nuova tabella di eventi identificati senza un processo di eliminazione. A.8.10 e A.5.33. SOC 2 CC6.
Prove di audit: approvazioni, gate CI, migrazioni che rimuovono un controllo obbligatorio. A.8.32 e A.5.33. SOC 2 CC8. Una modifica a CODEOWNERS che rimuove un proprietario di dominio appartiene a questa famiglia.
Come questo si collega alla guida ISO-in-repo
La maggior parte di queste famiglie ricade nel tema A.8 dell'Allegato A, i controlli tecnologici. È lo stesso segmento della guida ISO 27001-in-repo: logging, autenticazione, restrizione degli accessi, crittografia, gestione delle modifiche. Alcune famiglie citano anche A.5 quando la modifica riguarda come si concede l'accesso, si aggiunge un fornitore o si conservano i record. L'elenco di 93 controlli dell'Allegato A rimane comunque il livello di dettaglio sbagliato. Non si implementano 93 voci come un elenco di controllo del codice. La Dichiarazione di Applicabilità è il luogo in cui risiedono quelle decisioni.
GDPR, NIS 2, HIPAA, CCPA e il resto del catalogo riutilizzano le stesse famiglie di modifiche e citano le proprie clausole. Le colonne ISO e SOC 2 nella tabella sono le destinazioni usuali. Non sono le uniche.
Gravità e una modifica che migliora un controllo
La gravità è il rischio di conformità derivante dal merge della pull request così com'è. Un riscontro nomina il controllo in modo che il team possa decidere consapevolmente. Una pull request che riattiva l'MFA, allunga la conservazione o rimuove una chiave hardcoded non è un riscontro. Quella modifica riceve una nota nel riepilogo.
heygrc pubblica un check GitHub neutro per impostazione predefinita. Non certifica, non scrive la Dichiarazione di Applicabilità e non sostituisce un auditor. È attivo come GitHub App. Usalo come revisore della modifica.