Kontrollnachweise

Sicherheit › Berichte › Kontrollnachweise (/<org>/_admin/security/reports/control-evidence) zeigt, was in deiner Organisation in einem Zeitraum passiert ist, zugeordnet zu den Common Criteria von SOC 2 und den Kontrollen aus Anhang A von ISO 27001. Die Seite liest dasselbe hashverkettete Audit-Log; sie ist eine Ansicht davon, kein separater Datensatz.

Dokumente über fremforge als deinen Anbieter (Unterauftragsverarbeiter, übernommene Zertifizierungen) findest du unter Anbieternachweise.

Was angezeigt wird

• Der neueste Anker deiner Audit-Hash-Kette und wie weit die Kette archiviert ist.
• Pro Framework jede Kontrolle im Geltungsbereich mit der Zahl der Ereignisse im Zeitraum sowie dem ersten und dem neuesten Ereignis.
• Eine Detailansicht pro Kontrolle, die ihre Ereignisse auflistet.

Der Standardzeitraum sind die letzten 90 Tage.

Signiertes Bundle

Signiertes Bundle erzeugen lädt ein ZIP für den Zeitraum herunter: ein JSON-Manifest mit den Zahlen pro Kontrolle und den zugrunde liegenden Audit-Zeilen sowie ein PDF. Dasselbe Bundle liefert GET /_app/api/v1/orgs/{org}/compliance-evidence?from=YYYY-MM-DD&to=YYYY-MM-DD (Scope audit:read), mit einem Zeitraum von höchstens einem Jahr.

Das Manifest ist mit HMAC-SHA-256 signiert, mit einem Schlüssel, den fremforge hält. Ein HMAC ist eine Signatur mit gemeinsamem Schlüssel: Sie zeigt jemandem, der sie zusammen mit fremforge prüfen kann, dass das Bundle nach seiner Erstellung durch fremforge nicht verändert wurde, aber dein Auditor kann sie nicht allein verifizieren. Für eine Integrität, die dein Auditor unabhängig prüfen kann, verwende die Audit-Kette.