Uyumluluk

Nerede yer alıyor

Kenar çubuğu → Genel Bakış bölümü altındaki Uyumluluk, /organization/compliance adresinde. Sayfanın üstünde iki sekme var: OWASP ve Mevzuat. Her iki sekme de aynı hesaplama motorunu paylaşır; yalnızca gösterilen çerçeve kümesi farklıdır.

Kapsama nasıl hesaplanır

Uygun kullanıcı, rolü org_admin olmayan her aktif kurum üyesidir. Bir kullanıcı, son pencere (365 gün) içinde puanı ≥ geçer puan (70) olan en az bir pratik denemesi yapmışsa o konuda eğitimli sayılır. Bir risk öğesi — bir OWASP modülü veya bir mevzuat kontrolü — üzerinde eğitim almış uygun kullanıcı yüzdesi kurumunuzun kapsama eşiği eşiğini aştığında covered durumuna geçer; varsayılan %80'dir ve Kurum Ayarları üzerinden 50 ile 100 arasında yapılandırılabilir.

Henüz yayınlanmış içeriği olmayan risk öğeleri (henüz bir eğitim konumuzun bulunmadığı bir CWE'ye eşlenmiş olanlar) no-content durumunu raporlar; böylece çalışanlarınıza karşı puanlanmak yerine bilinen bir boşluk olarak görünür.

OWASP sekmesi

Aile başına bir panel — Web, API, Mobil, İstemci Tarafı. Her panel en üstte çerçevenin genel kapsama yüzdesini ve ortalama puanını gösterir, ardından altında modül bazlı dökümü (covered / partial / no-activity / no-content durumu, eğitimli kullanıcı sayısı ve ortalama puan ile) gösterir. Bir modülü kendisini oluşturan konulara ve her konunun ele aldığı CWE'lere inmek için tıklayın.

Mevzuat sekmesi

Bugün üç çerçeve yayında: PCI DSS v4.0 Gereksinim 6 (güvenli sistemler ve yazılım), ISO/IEC 27001:2022 Ek A güvenli geliştirme kontrolleri ve SOC 2 Trust Services Criteria (TSC 2017). Her çerçeve altındaki kontrollere açılır; her kontrol eğitim konularını ona eşlemek için kullanılan CWE kümesini listeler ve doğrudan bir kanıt paketine kopyalayabileceğiniz çerçeve bazlı kapsama yüzdesine kadar toplanır.

Kanıt PDF'i

Çerçeve kapsamlı bir PDF oluşturmak için her iki sekmede Kanıt PDF'ini İndir bağlantısına tıklayın. Mevzuat sekmesi ayrıca belirli bir çerçeve seçip yalnızca o çerçevenin kontrollerini içeren bir PDF üretmenize olanak tanır — denetçinin talebi dar olduğunda ("PCI 6.2.4 kanıtı lütfen") ve daha geniş kapsama raporunu vermek istemediğinizde işe yarar.

Programatik erişim

Aynı sayılar, makine tarafından okunabilir biçimde: API → Uyumluluk bölümüne bakın. Yaygın otomasyonlar arasında çerçeve bazlı kapsamayı bir GRC panosuna senkronlamak, herhangi bir kontrolün kapsaması eşiğin altına düştüğünde uyarı vermek ve modül bazlı dökümü iyileştirme eğitim atamalarını otomatik oluşturmak için bir sprint planlama aracına beslemek vardır.