ISO 27001 준수

좋습니다. ISO/IEC 27001:2022는 정보 보안 관리 시스템을 위한 국제 표준입니다. ISO/IEC에서 발행한 이 표준은 암호화, 접근 관리, 사건 대응 및 수십 가지 보안 영역에 관한 통제를 다루는 광범위한 문서입니다. 아마도 이미 알고 계실 것입니다. 솔직하게 말하면, Rediacc는 표준의 모든 통제를 다루지 않으며, 그렇게 하지도 않을 것입니다. 다음은 Rediacc가 적용되는 부분에 대한 정직한 매핑입니다. 현재 버전은 ISO/IEC 27001:2022입니다.

참고: ISO/IEC 27001:2022

자, Rediacc는 ISMS 내의 기술 통제 계층의 한 구성 요소입니다. 다음 표는 Rediacc의 기능을 관련 부속서 A 통제 도메인에 매핑합니다.

부속서 A 통제 매핑

통제 도메인	통제	Rediacc 기능
A.8, 자산 관리	A.8.1 자산 인벤토리	각 리포지토리는 고유한 GUID를 가진 별도의 식별 가능한 자산입니다. `rdc machine query --name <machine> --repositories`는 모든 리포지토리를 크기, 마운트 상태, 컨테이너 수와 함께 나열합니다.
A.8, 자산 관리	A.8.24 암호화 사용	모든 리포지토리에 LUKS2 AES-256 필수 암호화 적용. 키 관리: 자격증명은 서버가 아닌 운영자의 로컬 설정에만 저장됩니다.
A.9, 접근 제어	A.9.2 사용자 접근 관리	SSH 키 인증. IP 바인딩, 팀 범위 지정 및 팀 제거 시 자동 취소 기능이 있는 API 토큰. 이중 인증(TOTP) 지원.
A.10, 암호화	A.10.1 암호화 통제	구성 가능한 키 파라미터를 갖춘 LUKS2. 리포지토리당 암호화 자격증명. 모든 원격 전송에 SSH 사용. 설정 저장소는 제로 지식 암호화를 구현합니다. HKDF 키 파생을 사용한 AES-256-GCM, X25519 구성원 키 교환, 즉각적인 취소를 위한 시간 제한 SDK 키.
A.12, 운영 보안	A.12.3 백업	`rdc repo push/pull`을 사용한 여러 목적지(SSH, S3, B2, Azure, GDrive)로의 암호화 오프사이트 저장. 시점 복구를 위한 CoW 스냅샷. `rdc repo validate`로 백업 상태 및 리포지토리 무결성 검증.
A.12, 운영 보안	A.12.4 로깅 및 모니터링	70가지 이상의 이벤트 유형(인증, API 토큰, 설정, 라이선싱, 머신 작업). `rdc machine query`를 통한 머신 상태 모니터링. 컨테이너 상태 및 리소스 모니터링.
A.13, 통신 보안	A.13.1 네트워크 보안 관리	리포지토리당 Docker 데몬 격리. iptables 규칙이 리포지토리 간 트래픽을 차단합니다. 리포지토리당 루프백 IP 서브넷(/26). 외부 접근을 위한 TLS 종료 역방향 프록시.
A.14, 시스템 개발	A.14.2 개발 보안	포크 기반 개발 환경이 프로덕션 데이터 노출 없이 프로덕션 동등성을 제공합니다. Rediaccfile 수명 주기 훅이 클론된 환경에서 자동 데이터 위생 처리를 가능하게 합니다.

자산 관리

Rediacc의 리포지토리 모델은 자산 인벤토리 요건을 자연스럽게 지원합니다.

모든 리포지토리는 생성 시 고유한 GUID가 할당됩니다
리포지토리는 머신별로 열거할 수 있습니다(rdc machine query --repositories)
각 리포지토리의 암호화 상태, 마운트 상태, 컨테이너 수, 디스크 사용량이 표시됩니다
포크 관계가 클론된 환경의 계보를 추적합니다

변경 관리

포크-테스트-승격 워크플로는 ISO 27001의 변경 관리 요건과 일치합니다.

포크: 프로덕션 환경의 격리된 복사본 생성
테스트: 포크에서 변경 사항 적용 및 검증
승격: rdc repo takeover를 사용하여 포크를 프로덕션으로 교체
감사: 모든 작업이 타임스탬프 및 행위자 식별 정보와 함께 기록됩니다

지속적 개선

감사 로그 내보내기가 정기적인 보안 검토를 지원합니다
머신 상태 확인(rdc machine query --system)이 운영 모니터링을 지원합니다
rdc repo validate가 각 작업 후 백업 상태를 검증합니다