Controlebewijs

Beveiliging › Rapporten › Controlebewijs (/<org>/_admin/security/reports/control-evidence) laat zien wat er in een periode in je organisatie is gebeurd, gekoppeld aan de controls van de SOC 2 Common Criteria en ISO 27001 Annex A. De pagina leest hetzelfde hash-geketende auditlog; ze is een weergave daarvan, geen apart register.

Voor documenten over fremforge als je leverancier (subverwerkers, overgenomen certificeringen), zie Leveranciersattestatie.

Wat de pagina toont

• Het laatste anker van je audit-hashketen, en hoe ver de keten is gearchiveerd.
• Per framework elke control die binnen de scope valt, met het aantal gebeurtenissen in de periode en de eerste en de laatste.
• Per control een detailweergave met de bijbehorende gebeurtenissen.

De standaardperiode is de laatste 90 dagen.

Ondertekende bundel

Ondertekende bundel genereren downloadt een zip voor de periode: een JSON-manifest met de aantallen per control en de onderliggende auditregels, en een pdf. Dezelfde bundel is beschikbaar als GET /_app/api/v1/orgs/{org}/compliance-evidence?from=YYYY-MM-DD&to=YYYY-MM-DD (scope audit:read), met een periode van hoogstens één jaar.

Het manifest is ondertekend met HMAC-SHA-256, met een sleutel die fremforge beheert. Een HMAC is een handtekening met een gedeelde sleutel: hij laat zien dat de bundel niet is gewijzigd nadat fremforge hem maakte, aan iemand die dat samen met fremforge kan controleren, maar je auditor kan hem niet zelfstandig verifiëren. Voor integriteit die je auditor onafhankelijk kan controleren, gebruik je de auditketen.